Tomcat 인증

- web.xml
<security-constraint> <web-resource-collection> <web-resource-name>AdminResource</web-resource-name> <description/> <url-pattern>/*</url-pattern> <http-method>GET</http-method> </web-resource-collection> <auth-constraint> <description/> <role-name>role1</role-name> <!-- 여기 값이 없으면 인증창없이 403 에러가 난다. --> </auth-constraint> </security-constraint> <login-config> <auth-method>BASIC</auth-method> <realm-name>인증창에 나오는 메세지</realm-name> </login-config>
- tomcat-users.xml <?xml version="1.0" encoding="UTF-8"?> <tomcat-users> <role rolename="tomcat"/> <role rolename="role1"/> <user username="tomcat" password="tomcat" roles="tomcat"/> <user username="both" password="tomcat" roles="tomcat,role1"/> <user username="role1" password="tomcat" roles="role1"/> </tomcat-users>
로그인 실패하면 401 에러가 남.

- 결과

//인증을 받지 않은 경우
request.getRemoteUser() : null
request.getUserPrincipal() : null
principal.getName() : null

//role1이라는 사용자로 인증을 받은 경우
request.getRemoteUser() : role1
request.getUserPrincipal() : <user username="role1" password="tomcat" roles="role1"/>
principal.getName() : role1
request.isUserInRole(tomcat) : false
request.isUserInRole(role1) : true

//both라는 사용자로 인증을 받은 경우
request.getRemoteUser() : both
request.getUserPrincipal() : <user username="both" password="tomcat" roles="tomcat,role1"/>
principal.getName() : both //조금 이상하다.
request.isUserInRole(tomcat) : true
request.isUserInRole(role1) : true

//tomcat이라는 사용자는 role1이라는 권한이 없어서 거부된다.

- 참고
웹 어플리케이션 인증