JSP学习之Java Web中的安全控制实例详解

最新推荐文章于 2025-11-26 14:37:39 发布
转载 最新推荐文章于 2025-11-26 14:37:39 发布 · 315 阅读 · 0
本文详细介绍了JSP中实现安全控制的方法，包括登录处理流程、页面安全验证、使用过滤器进行权限验证等内容。

本文实例讲述了JSP学习之Java Web中的安全控制。分享给大家供大家参考。具体如下：

一、目标：

① 掌握登录之后的一般处理过程；
② 能够为每个页面添加安全控制；
③ 能够共享验证代码；
④ 使用过滤器对权限进行验证；
⑤ 能够对文件的局部内容进行验证；
⑥ 掌握安全验证码的基本实现方式；
⑦ 通过异常处理增强安全性。

二、主要内容：

① 通过修改前面的登录功能，分别对管理员和普通用户的登录进行处理；
② 为管理员才能访问的页面添加控制；
③ 共享各个页面中的控制代码，使用专门的文件，然后在需要的时候调用；
④ 使用过滤器降低重复验证代码；
⑤ 通过标准标签库完成页面局部信息的安全控制；
⑥ 介绍安全验证码的基本实现方式；

1、完善登录功能

正常情况下，管理员登录成功之后跳转到管理员默认工作界面；普通用户登录之后跳转到普通用户默认工作界面；用户登录失败后跳转到登录界面重新登录。
为了完成这个功能，需要编写管理员界面和普通用户界面。
管理员界面对应的文件为manager.jsp，代码如下：

manager.jsp代码：

复制代码 代码如下:
<%@ page contentType="text/html;charset=gb2312"%>

管理员操作界面

普通用户界面对应的文件为commonuser.jsp，代码如下：

commonuser.jsp代码：

复制代码 代码如下:
<%@ page contentType="text/html;charset=gb2312"%>

普通用户界面

修改登录的Servlet，修改后的代码如下：

LoginProcess.java代码：

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
package servlet;
import javabean.User;
import java.io.IOException;
import java.io.PrintWriter;
import javax.servlet.RequestDispatcher;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import javax.servlet.http.HttpSession;
public class LoginProcess extends HttpServlet {
     public void doGet(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {
        doPost(request,response);
     }
     public void doPost(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {
        // 获取信息
        String username = request.getParameter( "username" );
        String userpass = request.getParameter( "userpass" );
        // 调用JavaBean
        User user = new User();
        user = user.findUserByName(username);
        String forward;
        if (user== null ){
            forward= "failure.jsp" ;
        } else if (user.getUserpass().equals(userpass)){
            if (user.getUsertype().equals( "1" )){
               forward= "manager.jsp" ;
            }
            else {
               forward= "commonuser.jsp" ;
            }
        } else {
            forward= "failure.jsp" ;
        }
        RequestDispatcher rd = request.getRequestDispatcher(forward);
        rd.forward(request,response);
     }
}

2、为每个界面添加安全控制

上面的实例中登录成功后会跳转到管理员界面或者普通用户界面，但是如果用户直接输入管理员界面，就会跳过登录界面。例如用户可以直接输入：http://127.0.0.1:8080/ch11/manager.jsp。

为了解决这个问题，在每个有安全限制的界面都应该增加安全控制。需要完成两项工作：

① 在登录之后把用户的信息写入到session中；
② 在每个页面中，从session中获取信息进行验证；

在登录之后把用户信息写入到session中，下面是修改后的LoginProcess.java代码：

LoginProcess.java代码：

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
package servlet;
import javabean.User;
import java.io.IOException;
import java.io.PrintWriter;
import javax.servlet.RequestDispatcher;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import javax.servlet.http.HttpSession;
public class LoginProcess extends HttpServlet {
     public void doGet(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {
        doPost(request,response);
     }
     public void doPost(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {
        // 获取信息
        String username = request.getParameter( "username" );
        String userpass = request.getParameter( "userpass" );
        // 调用JavaBean
        User user = new User();
        user = user.findUserByName(username);
        // 得到session对象
        HttpSession session = request.getSession( true );
        String forward;
        if (user== null ){
            forward= "failure.jsp" ;
        } else if (user.getUserpass().equals(userpass)){
            if (user.getUsertype().equals( "1" )){
               // 在session对象中存储信息
               session.setAttribute( "usertype" , "1" );
               forward= "manager.jsp" ;
            }
            else {
               session.setAttribute( "usertype" , "0" );
               forward= "commonuser.jsp" ;
            }
        } else {
            forward= "failure.jsp" ;
        }
        RequestDispatcher rd = request.getRequestDispatcher(forward);
        rd.forward(request,response);
     }
}

以commonuser.jsp为例介绍如何在每个文件中进行安全控制，下面是修改后的代码：

commonuser.jsp代码：

?
1
2
3
4
5
<%@ page contentType= "text/html;charset=gb2312" %>
<%@ taglib prefix= "c" uri= "http://java.sun.com/jsp/jstl/core" %>
<c: if test= "${usertype!=/" 0 / "}" >
   <jsp:forward page= "login.jsp" />
</c: if >

普通用户界面

这样，如果不登录而直接访问commonuser.jsp就会跳转到登录界面。

3、采用专门的文件进行验证

因为很多页面都要编写验证的代码，所以可以把这些代码放在一个文件中进行共享，需要的使用调用共享文件。下面仍然以commonuser.jsp为例介绍如何实现验证代码的共享。

使用专门的文件存放共享代码：

check.jsp代码：

?
1
2
3
4
<%@ taglib prefix= "c" uri= "http://java.sun.com/jsp/jstl/core" %>
<c: if test= "${usertype!=/" 0 / "}" >
   <jsp:forward page= "login.jsp" />
</c: if >

在需要验证的文件中导入这个专门的文件。以commonuser.jsp为例：

commonuser.jsp代码：

?
1
2
<%@ page contentType= "text/html;charset=gb2312" %>
<%@ include file= "check.jsp" %>

普通用户界面

使用include指令包含目标文件，在把JSP转换成Java文件的时候，会把目标文件的代码拷贝到当前文件。
再运行测试，结果是相同的。

4、使用过滤器对权限进行验证

把具有相同权限要求的文件放在相同的文件夹下，对文件夹的访问进行统一的过滤。

编写用于过滤的Servlet，代码如下：

CommonCheck.java代码：

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
package servlet;
import java.io.IOException;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpSession;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
public class CommonCheck extends HttpServlet implements Filter {
public void doFilter(ServletRequest arg0, ServletResponse arg1,
         FilterChain arg2) throws IOException, ServletException {
     // 得到session
     HttpSession session = ((HttpServletRequest)arg0).getSession( true );
     // 得到用户类型
     String usertype = (String)session.getAttribute( "usertype" );
     // 进行判断
     if (usertype== null || usertype.equals( "1" )){
         ((HttpServletResponse)arg1).sendRedirect( "./../login.jsp" );
     }
     // 继续调用其他的过滤器
     try {
         arg2.doFilter(arg0, arg1);
     } catch (Exception e){}
}
public void init(FilterConfig arg0) throws ServletException {
     // TODO Auto-generated method stub
}
}

配置过滤器，过滤器的配置与Servlet的配置非常类似，在web.xml中添加如下代码：

?
1
2
3
4
5
6
7
8
< filter >
   < filter-name >CommonCheck</ filter-name >
   < filter-class >servlet.CommonCheck</ filter-class >
</ filter >
  < filter-mapping >
   < filter-name >CommonCheck</ filter-name >
   < url-pattern >/commonuser/*</ url-pattern >
  </ filter-mapping >

url-pattern中使用/commonuser/*，这样只要访问commonuser这个文件夹，就会访问这个过滤器，如果用户没有登录，将不能访问目标文件。

测试：为了测试需要创建一个文件夹commonuser，把commonuser.jsp拷贝到commonuser文件中。

测试过程如下：

先直接访问：http://127.0.0.1:8080/ch11/commonuser/commonuser.jsp，你会发现显示的是登录界面，就是因为没有登录而访问了commonuser中的文件，过滤器进行处理，然后跳转到登录界面了。

然后在登录界面输入正确的用户名和口令，然后再次在地址栏中输入上面的地址，这时候会看到commonuser.jsp文件的内容。表示验证通过。

5、对文件局部内容的安全进行控制

前面介绍的都是文件级别的安全控制，有时候需要对文件中部分内容进行安全控制，例如物品信息列表这样的界面，如果当前用户是管理员，则可以在其中完成管理功能，而对于普通用户来说，而不可以，这就需要进行局部的控制。局部控制主要是通过标准标签库中的<c:if>标签来完成。

6、安全验证码的基本实现方式

为了增强网站的安全性，很多网站采用了很多安全措施。例如SSL方式的访问、U盾和口令卡（工商银行）、信息加密等。安全验证码是现在比较流行的有效的一个安全措施，能够有效的解决用户通过遍历所有可能的组合来破解密码的问题。
基本工作原理如下：每次客户端访问服务器的时候，服务器会生成验证码，以图形的形式显示给用户，同时在服务器上保留备份，用户在提交信息的时候需要把验证码同时提交道服务器，服务器接收到验证码之后与服务器端的验证码进行比较，如果相同则进行处理。如果不同，则让用户重新输入。因为每次都变化，所有用户如果想破解密码，首先要应付变化的安全验证码，所以加大了破解的难度。

7、通过异常处理增强安全性

有时候用户的攻击是根据网站所使用的服务器来进行了，因为很多服务器都有自己的bug。如果不能对异常进行有效的处理，错误信息会显示在客户端，从错误信息中可以让客户发现服务器的版本信息，这样就为用户的恶意攻击提供了便利条件。

例如，用于输入：http://127.0.0.1:8080/ch11/abc.jsp

而abc.jsp是一个不存在的文件，这时候如果不进行处理，会在客户端显示服务器的信息。

如果能够对各种异常进行处理，不让用户看到你所使用技术和服务器，这样客户进行攻击的难度就加大了。

曾经有一个学生作了这样一件事情：使用JSP技术完成了一个网站，然后通过配置之后，客户端访问的时候，使用的文件后缀名都是php，给人的感觉就像是采用php技术编写的网站。

希望本文所述对大家的JSP程序设计有所帮助。

如对本文有疑问，请提交到交流社区，广大热心网友会为你解答！！ 点击进入社区

您可能感兴趣的文章:
big_HaHa
关注
jsp在线培训系统
09-25
jsp在线考试系统demo，主要是web的界面和jsp页面的东西
jsp 培训
07-28
新参加的java培训，资料给大家共享一下
做网页登录界面的java框架_一步步实现web程序信息管理系统之二--后台框架实现跳转登陆页面...
weixin_28289089的博客
02-27 396
SpringBootspringboot的目的是为了简化spring应用的开发搭建以及开发过程。内部使用了特殊的处理，使得开发人员不需要进行额外繁锁的xml文件配置的编写，其内部包含很多模块的配置只需要添加maven依赖即可使用，这项功能可谓对开发人员提供了大大的好处。使用springboot只需要简单配置一下就可以完成之前复杂的配置过程。可以到https://start.spring.io/此网...
JSP培训（11）——Java Web中的安全控制
李绪成的一亩三分地
09-28 3325
 目标：l         掌握登录之后的一般处理过程；l         能够为每个页面添加安全控制；l         能够共享验证代码；l         使用过滤器对权限进行验证；l         能够对文件的局部内容进行验证；l         掌握安全验证码的基本实现方式；l         通过异常处理增强安全性。主要内容：l        
java爬虫数据绕过登录界面
BUG粉碎机
07-25 2078
描述 在用java进行爬虫时，直接用HTTPClient访问获取相关网站数据时，网站会反馈一个登录看界面的信息，如某*东。 如图为网站反馈的登录信息 打开链接，发现这是爬虫某东的登录界面，者并不是我们需要的html界面 分析 直接用HTTPClient访问，我们的访问头会是空的，网站会以为有人在攻击。 解决方案 这时候我们需要为我们的访问头加上相关信息，也就时模拟我们的访问是用浏览器进行访问的，使用浏览器代理代理访问的，而不是采用空白攻击的手段。 为我们的访问设置访问头，也就数模拟我们在使用浏览器在进行访
JavaWeb之登录功能解决用户直接通过访问对应地址而跳过登录的bug，使用Filter拦截
凤文Sharing的博客
11-18 3776
当用户访问我们的网站时，对于部分页面我们希望他必须使用账号登录，而现在有个问题是，用户直接访问对应页面的地址而直接跳过账号登录，这个漏洞如何解决呢？ 可以使用过滤器，通过登录账号在对应的会话域对象中的参数，判断它是否登录了，如果没登录，就把他拦截下来。 package com.symc.filter; import javax.servlet.*; import javax.servlet.annotation.WebFilter; import javax.servlet.http.HttpServle
JSP培训（1）——概述
李绪成的一亩三分地
08-21 2676
        本文是JSP培训的笔记，是培训的第一次——概述。  （参考《Java Web程序设计基础教程》第1章）学习目标：l         掌握JSP的概念；l         了解JSP与Java之间的关系；l         了解JSP要解决的问题；l         了解JSP的发展过程；l         了解JSP的关键技术；l        
java 控制jsp_JSP学习之Java Web中的安全控制实例详解
weixin_26705191的博客
02-21 127
普通用户界面修改登录的Servlet，修改后的代码如下：LoginProcess.java代码：package servlet;import javabean.User;import java.io.IOException;import java.io.PrintWriter;import javax.servlet.RequestDispatcher;import javax.servlet.S...
基于JAVA+WEB的邮件系统源码完整实现
weixin_42499004的博客
10-31 1435
在Java Web邮件系统的构建中，Servlet与JSP构成服务端动态页面处理的核心。Servlet负责接收HTTP请求、处理业务逻辑并调用邮件发送组件，而JSP则承担视图渲染任务，通过EL表达式和JSTL标签库展示用户邮箱内容。两者协同工作于Tomcat等Web容器中，利用请求-响应模型实现前后端数据交互。// 示例：基础邮件发送Servlet处理流程// 获取表单参数// 调用JavaMail API发送邮件（后续章节详述）// 转发结果至JSP视图。
基于SpringBoot的二手车买卖平台JSP项目实战
最新发布
weixin_42465140的博客
11-26 361
回顾整个项目，我们用到了：SpringBoot：快速搭建后端骨架Maven：统一依赖与构建：灵活持久化方案：安全保障：高性能搜索Docker：现代化部署但这套组合拳并不适用于所有人。如果你只是做个校园二手交易小程序，也许用Flask+SQLite就够了；如果你想打造千万级并发的电商平台，那微服务+消息队列+分布式缓存才是正道。真正的高手，不是掌握最多工具的人，而是知道何时该用什么工具解决什么问题的人 🎯。
Java酒店管理系统项目源码实战演示（含前台预订+后台管理）
weixin_42588555的博客
09-10 818
在当前信息化快速发展的背景下，酒店行业对高效、智能的管理系统需求日益增长。本项目基于Java Web技术栈，构建一个功能完善的酒店管理系统，涵盖前台预订与后台管理两大核心模块。系统采用Servlet + JSP + MySQL架构，结合MVC设计模式，实现用户注册、登录、客房展示、订单管理、权限控制等关键功能。本章将从项目开发背景出发，分析系统的业务需求与功能模块划分，并详细介绍开发环境的搭建流程，包括JDK、Tomcat、Eclipse的配置与集成。
基于JSP的康养旅游信息系统毕业设计完整项目
weixin_42315569的博客
11-24 236
<tag></tag>
jsp培训jsp培训jsp培训jsp培训jsp培训
02-03
jsp培训jsp培训jsp培训jsp培训jsp培训jsp培训jsp培训jsp培训jsp培训jsp培训jsp培训jsp培训jsp培训jsp培训jsp培训jsp培训
jsp培训ppt教程
09-16
JSP(Java Server Pages)是由Sun公司倡导、许多公司参与一起建立的一种动态网页技术标准。JSP是英文Java Server Pages的缩写，JSP技术是用JAVA语言作为脚本语言的，JSP网页为整个服务器端的JAVA库单元提供了一个接口来服务于HTTP的应用程序。 　　在传统的网页HTML文件(*.htm,*.html)中加入Java程序片段(Scriptlet)和JSP标记(tag)，就构成了JSP网页(*.jsp)。
jsp员工培训考核系统
02-18
jsp+sql server员工培训考核系统 前台和后台两部份。
Java Web主流框架实战学习指南
weixin_28721743的博客
07-12 473
MVC（Model-View-Controller）模式是一种广泛应用于软件工程领域的设计模式，旨在分离应用程序的逻辑与显示部分，以提高代码的可维护性和可扩展性。该模式将应用程序分为三个核心组件：Model（模型）：代表数据和业务逻辑层，负责数据的存取和处理。View（视图）：负责展示数据给用户，是应用程序的外观层。Controller（控制器）：作为模型和视图之间的中介，负责接收用户的输入，调用模型处理数据，并选择视图显示数据。
Acegi Security Taglib 0.6.1: Web应用安全控制实践
weixin_42466723的博客
11-13 831
本文还有配套的精品资源，点击获取 简介：Acegi Security Taglib 0.6.1是一个为Web应用提供安全控制的开源库，集成了Acegi Security的自定义HTML标签。通过这些标签，开发者可以在JSP页面中轻松实现权限检查、用户登录状态显示等安全功能，提高代码的可读性和维护性。本库已被Spring Security取代，但对旧项目的维护仍有参考价值。开...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值