Segurança no Tomcat (web.xml)

Pessoal, alguem poderia me dar algumas dicas para configurar o web.xml para impor recursos de segurança no Tomcat. O lance é que um colega, conseguiu baixar os meus arquivos .jsp do servidor, alguém poderia me dizer como ele conseguiu fazer isto ?

Quando habilito o esquema de segurança, o Tomcat não libera nada mais dentro da pasta, eu, só gostaria de deixar liberado para o usuário a possibilidade de executar(rodar), mas totalmente bloqueado a possibilidade do cara ver o .jsp ou de baixá-lo ? Como faço isto ?

Alguém poderia me explicar as linhas abaixo do meu web.xml:
Principalmente estas 3 linhas:
<user-data-constraint>
<transport-guarantee>NONE</transport-guarantee>
</user-data-constraint>

Um exemplo do meu web.xml

<?xml version=“1.0” encoding=“ISO-8859-1”?>
<!DOCTYPE web-app
PUBLIC “-//Sun Microsystems, Inc.//DTD Web Application 2.2//EN”
“http://java.sun.com/j2ee/dtds/web-app_2_2.dtd”>

<web-app>
<display-name>Controle Acadêmico - Univás</display-name>
<session-config>
<session-timeout>30</session-timeout>
</session-config>

&lt;!-- REGRAS DE SEGURANÇA --&gt;

     &lt;security-constraint&gt;
         &lt;web-resource-collection&gt;
           &lt;web-resource-name&gt;seguranca&lt;/web-resource-name&gt;
             &lt;url-pattern&gt;conecta/*&lt;/url-pattern&gt;
             &lt;url-pattern&gt;jsp/*&lt;/url-pattern&gt;
             &lt;http-method&gt;GET&lt;/http-method&gt;
             &lt;http-method&gt;POST&lt;/http-method&gt;
           &lt;/web-resource-collection&gt;
           &lt;auth-constraint&gt;
             &lt;role-name&gt;administrador&lt;/role-name&gt;
           &lt;/auth-constraint&gt;

      &lt;user-data-constraint&gt;
        &lt;transport-guarantee&gt;NONE&lt;/transport-guarantee&gt;
      &lt;/user-data-constraint&gt;

     &lt;/security-constraint&gt;

     &lt;login-config&gt;
     &lt;realm-name&gt;&lt;/realm-name&gt;
     &lt;auth-method&gt;BASIC&lt;/auth-method&gt;
     &lt;/login-config&gt;

</web-app>

1 Resposta

renatopbPJ 25 de ago. de 2004

Daí guri,

Ao meu ver, está tudo blz.
Agora me diz uma coisa, pelo cara ser teu colega, não seria possível que ele tenha tido acesso ao servidor por meios mais “profissionais”, tipo, ele entrou na máquina e pegou os arquivos ao invés de solicitá-los pelo browser ?

Desculpa não te dar mastigadinho a parada, mas a edição 4 da java magazine tem uma reportagem legal sobre segurança na Web.

Em última instância, pergunta pro teu colega como ele fez, é sempre a melhor maneira de corrigir um erro

[]s

1 Resposta

Topicos relacionados