Servlet的部署与安全

1 Servlet 部署

Servlet规范关于各个东西该放在哪里有许多严格的规则。

war文件代表Web归档(Web Archive)，war实际就是一个JAR，只不过扩展名是.war而不是.jar。

其采用了一种可移植的压缩形式，把整个Web应用结构（去掉Web应用上下文目录，也就是把WEB-INF之上的一级目录去掉）压缩起来。

war独有的特性就是声明库依赖性。

可以在META-INF/MANIFEST.MF文件中声明库依赖性，这样在部署时就能检查容器能否找到应用依赖的包和类，如果没找到，则不能部署。（这样做的好处是，当请求到来时，如果容器在其类路径中没有找到所请求资源需要的特定类，就会出现问题，而通过这个就会将这个问题暴露在部署时，而不是到真正的运行时）

WEB-INF 或META-INF下的任何内容都不能直接访问。

ServletContext中的getResource()和getResourceAsStream()两个方法只用于Web应用中未部署在JAR文件中的资源。

首先查找完全评判，然后是查找目录匹配，最后才是扩展名匹配。

如果一个请求与多个目录<url-pattern>匹配，容器会选择最长的匹配。

按顺序指定一个页面列表，容器总是按同一个列表查找。对于部分请求指定的目录，容器按你指定的页面顺序在这个目录中查找。

<welcome-file-list>可配置多个文件（不能以斜线开头）

1，声明一个“普遍”型错误页面

<error-page>

<exception-type>java.lang.Throwable</exception-type>

<location>/errorPage.jsp</location>

</error-page>

2，为更明确的异常声明一个错误页面

<error-page>

<exception-type>java.lang.ArithmeticException</exception-type>

</error-page>

3，根据一个HTTP状态码声明错误页面

<error-page>

<error-code>404</error-code>

<location>/noPage.jsp</location>

</error-page>

servlet默认会在每一个请求到来时初始化。这说明，第一个客户要承受类加载、实例化和初始化等一系列开销，然后容器才能正常工作：分配一个线程，并调用servlet的service()方法。

如果想在部署时加载servlet，可以在DD中使用<load-on-startup>元素。<load-on-starup>非负值意味着要早加载及servlet的加载顺序。

servlet安全的四大要素：认证、授权、机密性和数据完整性。

图第一次发起请求时HTTP的认证步骤

图携带认证信息发起请求后HTTP的认证步骤

图没有携带口令发起请求，容器认证授权步骤

图携带口令发起请求，容器认证授权步骤

基本BASIC	以一种编码形式(base64未加密)传输登陆信息。安全性很弱。
摘要DIGEST	以一种更安全的方式传输登陆信息。
客户证书CLIENT-CERT	以一种非常安全的形式传输登陆信息，它使用了公共密钥证书。缺点是，你的客户必须先有一个证书才能登陆你的系统。
表单FORM	前面3种认证都使用了浏览器的标准弹出表单来输入用户名和口令。而表单认证允许你利用合法的HTML建立自己的定制登陆表单。