WebLogic 安全性编程

确保 Web 应用程序安全

WebLogic Server 支持用于确保 Web 应用程序安全的 J2EE 架构安全模型，其中包括支持声明性授权（在本文档中，也称为声明性安全）和编程授权（在本文档中，也称为编程安全）。

本部分包含下列主题：

WebLogic Server 支持使用 HttpServletRequest.isUserInRole 和 HttpServletRequest.getUserPrincipal 方法，并支持在部署描述符中使用 security-role-ref 元素，以在 Web 应用程序中实现编程授权。

使用 Web 浏览器时执行身份验证

Web 浏览器可以通过超文本传输协议（HyperText Transfer Protocol，简称 HTTP）端口或具有 SSL 的 HTTP (HTTPS) 端口连接到 WebLogic Server。与使用 HTTP 端口相比，使用 HTTPS 端口的优点是具有双重保护。使用 HTTPS 连接时：

如果将服务器配置为使用双向 SSL 身份验证，则服务器和客户端需要互相提供数字证书以证明它们的身份。

用户名和密码身份验证

当用户使用 Web 浏览器通过 HTTP 端口连接到服务器时，WebLogic Server 会执行用户名和密码身份验证。在这种场景下，浏览器和 WebLogic Server 实例通过以下方式进行交互以对用户进行身份验证（请参阅图 3-1）：

数字证书身份验证

当 Web 浏览器用户通过 HTTPS 端口连接到服务器时，WebLogic Server 使用加密和数字证书身份验证。在这种场景下，浏览器和 WebLogic Server 实例通过以下方式进行交互以对用户进行身份验证并向用户授权（请参阅图 3-1）：

有关详细信息，请参阅下列文档：

多个 Web 应用程序、Cookie 和身份验证

默认情况下，WebLogic Server 会向所有 Web 应用程序分配同一 cookie 名称 (JSESSIONID)。使用任何类型的身份验证时，所有使用同一 cookie 名称的 Web 应用程序都使用单一登录进行身份验证。一旦某用户通过身份验证，那么对于向任何使用同一 cookie 名称的 Web 应用程序发出的请求，该身份验证都有效。系统不会再次提示该用户进行身份验证。

如果需要为某 Web 应用程序单独进行身份验证，可为该 Web 应用程序指定唯一的 cookie 名称或 cookie 路径。使用 CookieName 参数指定 cookie 名称并使用 CookiePath 参数指定 cookie 路径，这些参数在 WebLogic 的特定部署描述符 weblogic.xml 的 <session-descriptor> 元素中定义。有关详细信息，请参阅“开发 WebLogic Server 的 Web 应用程序、Servlet 和 JSP”中的 session-descriptor。

如果要保留该 cookie 名称，并且仍旧需要为每个 Web 应用程序单独进行身份验证，可对每个 Web 应用程序的 cookie 路径参数 (CookiePath) 进行不同的设置。

使用 WebLogic Server，用户可以在使用 HTTP 启动的会话中安全地访问 HTTPS 资源，而不用担心丢失会话数据。有了此功能，网站设计人员可以防止会话被盗用。有关此功能的详细信息，请参阅使用安全 Cookie 防止会话盗用。

使用安全 Cookie 防止会话盗用

会话盗用是一个常见的 Web 安全问题。当攻击者设法获取会话 cookie 的副本时（一般是在通过网络传输 cookie 时），会发生会话盗用。只有当数据以明文形式（即，不加密）发送时，才会发生会话盗用。

BEA Systems 为 WebLogic Server 增加了一项功能，使用该功能，用户可以在使用 HTTP 启动的会话中安全地访问 HTTPS 资源，而不用担心丢失会话数据要启用该功能，请在 config.xml 中将 AuthCookieEnabled="true" 添加到 WebServer 元素：

<WebServer Name="myserver" AuthCookieEnabled="true"/>

如果将 AuthCookieEnabled 设置为 true（这是默认设置），会导致WebLogic Server 实例在通过 HTTPS 连接进行身份验证时将一个新的安全 cookie (_wl_authcookie_) 发送到浏览器。一旦设置了该安全 cookie，则只有当从浏览器发送该 cookie 时，会话才可以访问其他受安全约束的 HTTPS。

因此，WebLogic Server 现在使用两个 cookie：JSESSIONID cookie 和 _wl_authcookie_ cookie。默认情况下，JSESSIONID cookie 始终都不安全，但 _wl_authcookie_ cookie 始终都安全。只有在使用加密通信通道时，才会发送安全的 cookie。如果是标准的 HTTPS 登录（HTTPS 是加密的 HTTP 连接），浏览器会同时获得这两个 cookie。对于后续 HTTP 访问，如果您具有有效的 JSESSIONID cookie，则认为您已通过身份验证，但对于 HTTPS 访问，您必须同时具有这两个 cookie 才会认为您已通过身份验证。如果您只具有 JSESSIONID cookie，您必须重新进行身份验证。

启用该功能后，一旦您通过 HTTPS 登录，便只会以加密形式通过网络发送安全的 cookie，因此该 cookie 在传输过程中永远不会被盗用。JSESSIONID cookie 在传输中仍旧容易遭到盗用。因此，网站设计人员可以要求所有敏感数据都使用 HTTPS，从而确保会话不被盗用。虽然 HTTP 会话 cookie 仍旧容易被盗用，但敏感操作需要 _wl_authcookie_ cookie，而该 cookie 无法被盗取，因此，这些操作是受保护的。

开发安全的 Web 应用程序

WebLogic Server 针对 Web 浏览器支持三种类型的身份验证：

以下各部分涵盖了使用这些类型的身份验证的不同方式：

开发 BASIC 身份验证 Web 应用程序

使用基本身份验证时，Web 浏览器会弹出一个登录屏幕来响应 WebLogic 资源请求。该登录屏幕会提示用户输入用户名和密码。图 3-2 所示为典型的登录屏幕。

要开发提供基本身份验证的 Web 应用程序，请执行下列步骤：

String username = weblogic.security.SubjectUtils.getUsername(
                        weblogic.security.Security.getCurrentSubject());

使用 HttpSessionListener 补偿“浏览器缓存凭据”

浏览器会缓存用户凭据并经常自动将它们重新发送到服务器。这样，即使退出或超时，WebLogic Server 会话也不会受到破坏。可以只缓存当前浏览器会话的凭据，也可以缓存多个浏览器会话的凭据，具体取决于浏览器。

可以通过创建实现 javax.servlet.http.HttpSessionListener 接口的类来验证 WebLogic Server 的会话是否受到了破坏。如果 Web 应用程序中的活动会话列表发生改变，则会通知该接口的实现。要接收通知事件，必须在 web.xml 中的 Web 应用程序部署描述符中配置实现类。

要配置会话监听器类，请执行下列操作：

编写并部署会话监听器类。清单 3-4 中显示的示例使用简单计数器跟踪会话计数。

package myApp;

import javax.servlet.http.HttpSessionListener;
import javax.servlet.http.HttpSessionEvent;

public class MySessionListener implements HttpSessionListener {

       private static int sessionCount = 0;

       public void sessionCreated(HttpSessionEvent se) {
               sessionCount++;
                //写入日志或执行其他处理。
}

       public void sessionDestroyed(HttpSessionEvent se) {
                if(sessionCount > 0)
                         sessionCount--;
                     //写入日志或执行其他处理。
           }

}

开发 FORM 身份验证 Web 应用程序

将 FORM 身份验证用于 Web 应用程序时，将提供一个自定义登录屏幕（Web 浏览器在响应 Web 应用程序资源请求时显示）和一个错误屏幕（在登录失败时显示）。可以使用 HTML 页、JSP 或 Servlet 生成登录屏幕。基于表单登录的优点是：可以完全控制这些屏幕，因此可以将它们设计得满足应用程序或企业策略/准则的要求。

登录屏幕会提示用户输入用户名和密码。图 3-4 所示为使用 JSP 生成的典型登录屏幕，而 清单 3-5 所示则为源代码。

<html>
  <head>)
    <title>Security WebApp login page</title>
  </head>
  <body bgcolor="#cccccc"> 
  <blockquote>
  <img src=BEA_Button_Final_web.gif align=right>
  <h2>Please enter your user name and password:</h2>
  <p>
  <form method="POST" action="j_security_check">
  <table border=1>
    <tr>
      <td>Username:</td>
      <td><input type="text" name="j_username"></td>
    </tr>
    <tr>
      <td>Password:</td>
      <td><input type="password" name="j_password"></td>
    </tr>
    <tr>
      <td colspan=2 align=right><input type=submit
                                     value="Submit"></td>
    </tr>
  </table>
  </form>
  </blockquote>
  </body>
</html>

图 3-5 所示为使用 HTML 生成的典型登录错误屏幕，而清单 3-6 所示则为源代码。

<html>
  <head>
    <title>Login failed</title>
  </head>
  <body bgcolor=#ffffff>
  <blockquote>
  <img src=/security/BEA_Button_Final_web.gif align=right>
  <h2>Sorry, your user name and password were not recognized.</h2>
  <p><b>
  <a href="/security/welcome.jsp">Return to welcome page</a> or 
           <a href="/security/logout.jsp">logout</a> 
  </b>
  </blockquote>
  </body>
</html>

要开发提供 FORM 身份验证的 Web 应用程序，请执行下列步骤：

String username = weblogic.security.SubjectUtils.getUsername(
                        weblogic.security.Security.getCurrentSubject());

将标识声明用于 Web 应用程序身份验证

在 Web 应用程序中使用标识声明来验证客户端标识以进行身份验证。使用标识声明时，必须满足下列要求：

将双向 SSL 用于 Web 应用程序身份验证

在 Web 应用程序中使用双向 SSL 来验证客户端是否与声明一致。使用双向 SSL 时，必须满足下列要求：

为身份验证方法提供应变机制

Servlet 2.4 specification 允许您定义要在 Web 应用程序中使用的身份验证方法（BASIC、FORM 等）。WebLogic Server 9.2 提供了一个 auth-method 安全模块，该模块允许您定义多种身份验证方法（以逗号分隔列表的形式），因此，该容器可以提供应变机制。将按照在 auth-method 列表中定义值的顺序尝试进行身份验证。

例如，可以在 web.xml 文件的 login-config 元素中定义以下 auth-method 列表：

  <login-config>
    <auth-method>CLIENT-CERT,BASIC</auth-method>
  </login-config>

这样，容器将会首先尝试通过查看 CLIENT-CERT 值进行身份验证。如果失败，容器将要求用户代理执行 BASIC 身份验证。

如果配置了 FORM 身份验证或 BASIC 身份验证，它们必须位于列表的一端（因为它们需要与用户进行往返通信）。但是，FORM 和 BASIC 不能同时出现在auth-method 值的列表中。

配置

可通过两种方式配置 auth-method 身份验证安全：

使用 WebLogic Java 管理扩展（Java Management Extension，简称 JMX），可以访问 RealmMBean，以创建并管理安全资源。有关详细信息，请参阅“使用 JMX 开发自定义管理实用工具”中的 WebLogic Server 子系统 MBean 概述。

开发基于 Swing 的身份验证 Web 应用程序

也可以使用 Web 浏览器来运行使用 Java 基础类（Java 基础类，简称 JFC） Swing 组件开发的图形用户界面（graphical user interface，简称 GUI）；Swing 组件工具包集成在 Java 2 平台标准版（Java 2 platform, Standard Edition，简称 J2SE）中。

有关如何使用 Swing 组件为应用程序和 Applet 创建图形用户界面 (GUI) 的信息，请参阅由 Sun Microsystems, Inc. 编写的“Creating a GUI with JFC/Swing”教程（也称为“Swing 教程”）。您可以在 Web 上访问该教程，网址为：http://java.sun.com/docs/books/tutorial/uiswing/。

开发了基于 Swing 的 GUI 后，请参阅开发 FORM 身份验证 Web 应用程序，使用基于 Swing 的屏幕执行所需的步骤，以开发提供 FORM 身份验证的 Web 应用程序。

部署 Web 应用程序

要在正在“开发”模式下运行的服务器上部署 Web 应用程序，请执行下列步骤：

有关部署安全的 Web 应用程序的详细信息，请参阅“将应用程序部署到 WebLogic Server”中的部署应用程序和模块。

将声明性安全用于 Web 应用程序

实现声明性安全的方式有三种：

JACC 标志和安全模型定义了使用这三个方法中的哪一种方法。（有关安全模型的描述，请参阅“使用角色和策略确保 WebLogic 资源安全”的可确保 EJB 和 Web 应用程序资源安全的选项。）

要在 Web 应用程序中实现声明性安全，可以使用部署描述符（web.xml 和 weblogic.xml）定义安全要求。这些部署描述符将该应用程序的逻辑安全性要求映射到该应用程序的运行时定义。在运行时，Servlet 容器使用安全定义强制执行这些要求。有关使用部署描述符的讨论，请参阅开发安全的 Web 应用程序。

有关如何使用部署描述符和 externally-defined 元素在 Web 应用程序中以声明方式配置安全的信息，请参阅 externally-defined。

有关如何使用管理控制台在 Web 应用程序中配置安全的信息，请参阅使用角色和策略确保 WebLogic 资源安全。

与 Web 应用程序安全相关的部署描述符

下列主题描述了在 web.xml 和 weblogic.xml 文件中用于定义 Web 应用程序的安全要求的部署描述符元素：

web.xml 部署描述符

WebLogic Server 支持以下与 web.xml 安全相关的部署描述符元素：

auth-constraint

可选 auth-constraint 元素定义哪些组或委托人有权访问在此安全约束中定义的 Web 资源集合。

下表描述了可以在 auth-constraint 元素中定义的元素。

使用位置

在 security-constraint 元素中使用 auth-constraint 元素。

示例

有关如何在 web.xml 文件中使用 auth-constraint 元素的示例，请参阅清单 3-10。

security-constraint

security-constraint 元素在 web.xml 文件中用于定义对 web-resource-collection 元素定义的资源集合的访问权限。

下表描述了可以在 security-constraint 元素中定义的元素。

示例

清单 3-10 说明如何使用 security-constraint 元素定义 web.xml 文件中的 SecureOrdersEast 资源安全。

web.xml entries:
<security-constraint>
     <web-resource-collection>
          <web-resource-name>SecureOrdersEast</web-resource-name>
          <description>
             Security constraint for
             resources in the orders/east directory
          </description>
          <url-pattern>/orders/east/*</url-pattern>
          <http-method>POST</http-method>
          <http-method>GET</http-method>
     </web-resource-collection>
     <auth-constraint>
          <description>
           constraint for east coast sales
          </description>
          <role-name>east</role-name>
          <role-name>manager</role-name>
     </auth-constraint>
 <user-data-constraint>
          <description>SSL not required</description>
          <transport-guarantee>NONE</transport-guarantee>
     </user-data-constraint>
</security-constraint>
...

security-role

security-role 元素包含安全角色的定义。该定义包含安全角色的可选描述和安全角色名称。

下表描述了可以在 security-role 元素中定义的元素。

示例

有关如何在 web.xml 文件中使用 security-role 元素的示例，请参阅清单 3-13。

security-role-ref

security-role-ref 元素将 <security-role> 定义的安全角色名链接到使用 Servlet 逻辑进行硬编码的备用角色名。使用此附加提取层，可以在部署时配置 Servlet，且不必更改 Servlet 代码。

下表描述了可以在 security-role-ref 元素中定义的元素。

示例

有关如何在 web.xml 文件中使用 security-role-ref 元素的示例，请参阅清单 3-16。

user-data-constraint

user-data-constraint 元素定义应如何保护客户端和服务器之间的通信数据。

下表描述了可以在 user-data-constraint 元素中定义的元素。

使用位置

在security-constraint 元素中使用 user-data-constraint 元素。

示例

有关如何在 web.xml 文件中使用 user-data-constraint 元素的示例，请参阅清单 3-10。

web-resource-collection

web-resource-collection 元素标识了一个资源子集，以及在 Web 应用程序中针对这些资源且将应用安全约束的 HTTP 方法。如果未指定 HTTP 方法，则该安全约束应用于所有 HTTP 方法。

下表描述了可以在 web-resource-collection 元素中定义的元素。

使用位置

在security-constraint 元素中使用 web-resource-collection 元素。

示例

有关如何在 web.xml 文件中使用 web-resource-collection 元素的示例，请参阅清单 3-10。

weblogic.xml 部署描述符

WebLogic Server 支持以下与 weblogic.xml 安全相关的部署描述符元素：

有关 weblogic.xml 部署描述符的其他信息，请参阅使用 WebLogic Server 开发应用程序 中的 XML 部署描述符 部分。

有关 weblogic.xml 元素的其他信息，请参阅开发 WebLogic Server 的 Web 应用程序、Servlet 和 JSP中的 weblogic.xml 部署描述符元素。

externally-defined

externally-defined 元素使您可以明确指出，希望由 web.xml 部署描述符的 role-name 元素定义的安全角色使用在管理控制台指定的映射。通过该元素，您可以不必为在特定 Web 应用程序的部署描述符中定义的每个安全角色指定特定的安全角色映射。所以，在同一安全领域中，部署描述符可用于指定和修改某些应用程序的安全性，而管理控制台可用于指定和修改其他应用程序的安全性。

服务器的角色映射行为取决于在管理控制台上选择哪个安全部署模型。有关安全部署模型的信息，请参阅“使用角色和策略确保 WebLogic 资源安全”中的用于确保 Web 应用程序和 EJB 资源安全的选项。

使用位置

在 security-role-assignment 元素中使用 externally-defined 元素。

示例

清单 3-11 和 清单 3-12 以比较的形式说明如何在 weblogic.xml 文件中使用 externally-defined 元素。在 清单 3-12 中，指定 weblogic.xml 中的“webuser” externally-defined 元素的规范意味着，要针对 getReceipts 方法正确配置安全，必须在管理控制台中为 webuser 创建委托人。

web.xml entries:

<web-app>
           ...
<security-role>
               <role-name>webuser</role-name>
           </security-role>
           ...

</web-app>

<weblogic.xml entries:

<weblogic-web-app>

     <security-role-assignment>
         <role-name>webuser</role-name>
         <principal-name>myGroup</principal-name>
         <principal-name>Bill</principal-name>
         <principal-name>Mary</principal-name>
     </security-role-assignment>

</weblogic-web-app>

web.xml entries:

<web-app>
           ...
<security-role>
               <role-name>webuser</role-name>
           </security-role>
           ...

</web-app>

<weblogic.xml entries:

<weblogic-web-app>

     <security-role-assignment>
         <role-name>webuser</role-name>
         <externally-defined/>
     </security-role-assignment>

有关如何使用管理控制台配置 Web 应用程序安全的信息，请参阅使用角色和策略确保 WebLogic 资源安全。

run-as-principal-name

run-as-principal-name 元素指定委托人的名称，以用于由配套文件 web.xml 中的 run-as 元素定义的安全角色。

使用位置

在 run-as-role-assignment 元素中使用 run-as-principal-name 元素。

示例

有关如何使用 run-as-principal-name 元素的示例，请参阅清单 3-13。

run-as-role-assignment

run-as-role-assignment 元素将配套文件 web.xml 中的 role-name 元素定义的给定角色名映射到系统中的有效用户名。对于给定 Servlet，此值可由 Servlet 描述符中的 run-as-principal-name 元素替代。如果给定角色名缺少 run-as-role-assignment 元素，则 Web 应用程序容器会选择在 security-role-assignment 元素中定义的第一个委托人名称。

下表描述了可以在 run-as-role-assignment 元素中定义的元素。

示例：

清单 3-13 说明如何使用 run-as-role-assignment 元素让 SnoopServlet 始终作为用户 joe 执行。

web.xml:

  <servlet>
    <servlet-name>SnoopServlet</servlet-name>
    <servlet-class>extra.SnoopServlet</servlet-class>
    <run-as>
      <role-name>runasrole</role-name>
    </run-as>
  </servlet>
  <security-role>
    <role-name>runasrole</role-name>
  </security-role>

weblogic.xml:

  <weblogic-web-app>
     <run-as-role-assignment>
       <role-name>runasrole</role-name>
       <run-as-principal-name>joe</run-as-principal-name>
     </run-as-role-assignment>
  </weblogic-web-app>

security-permission

security-permission 元素指定与 J2EE 沙盒相关联的安全权限。

示例

有关如何使用 security-permission 元素的示例，请参阅清单 3-14。

security-permission-spec

security-permission-spec 元素根据安全策略文件语法指定单个安全权限。有关 Sun 的安全权限规范的实现，请参阅以下 URL：

http://java.sun.com/j2se/1.5.0/docs/guide/security/PolicyFiles.html#FileSyntax

使用位置

在security-permission 元素中使用 security-permission-spec 元素。

示例

清单 3-14 说明如何使用 security-permission-spec 元素将权限授予 java.net.SocketPermission 类。

<weblogic-web-app>
   <security-permission>
     <description>Optional explanation goes here</description>
     <security-permission-spec>
<!—
A single grant statement following the syntax of http://java.sun.com/j2se/1.5.0/docs/guide/security/PolicyFiles.html#FileSyntax, without the "codebase" and "signedBy" clauses, goes here.For example:
-->
      grant {
      permission java.net.SocketPermission "*", "resolve";
      };
     </security-permission-spec>
   </security-permission>
</weblogic-web-app>

在清单 3-14 中，权限 java.net.SocketPermission 是权限类名，“*”表示目标名称，resolve 表示操作（解析主机/IP 名称服务查找）。

security-role-assignment

security-role-assignment 元素声明一个安全角色和 WebLogic Server 安全领域中的一个或多个委托人 s 之间的映射。

示例

清单 3-15 说明如何使用 security-role-assignment 元素为委托人分配 PayrollAdmin 角色。

<weblogic-web-app>
  <security-role-assignment>
        <role-name>PayrollAdmin</role-name>
       <principal-name>Tanya</principal-name>
       <principal-name>Fred</principal-name>
       <principal-name>system</principal-name>
  </security-role-assignment>
</weblogic-web-app>

将编程安全用于 Web 应用程序

您可以在 Servlet 代码中编写 Servlet 以访问用户和安全角色。要执行此操作，请在 servlet 代码中使用下列方法：javax.servlet.http.HttpServletRequest.getUserPrincipal 和 javax.servlet.http.HttpServletRequest.isUserInRole(String role) 方法。

getUserPrincipal

使用 getUserPrincipal() 方法确定 Web 应用程序的当前用户。如果当前用户中存在一个 WLSUser Principal，此方法会将其返回。如果有多个 WLSUser Principals，则此方法返回由 Subject.getPrincipals().iterator()方法定义的排序中的第一个。如果没有WLSUser Principals，则 getUserPrincipal()方法返回第一个非 WLSGroup Principals。如果没有Principals，或者所有Principals的类型都是 WLSGroup，则此方法返回 null。此行为与 weblogic.security.SubjectUtils.getUserPrincipal() 方法的语义相同。

有关如何使用 getUserPrincipal() 方法的详细信息，请参阅 http://java.sun.com/j2ee/1.4/docs/tutorial/doc/Security4.html。

isUserInRole

The javax.servlet.http.HttpServletRequest.isUserInRole(String role) 方法返回一个布尔值，该值指出是否已将指定的逻辑安全“角色”授予已通过身份验证的用户。如果未对用户进行身份验证，此方法返回 false。

isUserInRole() 方法将安全角色映射到安全领域中的组名。清单 3-16 显示在 web.xml 文件中与 <servlet> 元素共同用于定义安全角色的元素。

Begin web.xml entries:

...
<servlet>
        <security-role-ref>
             <role-name>user-rolename</role-name>
             <role-link>rolename-link</role-link>
         </security-role-ref>
</servlet>

<security-role>
         <role-name>rolename-link</role-name>
</security-role>
...

Begin weblogic.xml entries:

...
<security-role-assignment>
         <role-name>rolename-link</role-name>
         <principal-name>groupname</principal>
         <principal-name>username</principal>
</security-role-assignment>
...

字符串 role 映射到在 <role-name> 元素中提供的名称，该元素嵌套在 web.xml 部署描述符中 <servlet>声明的 <security-role-ref> 元素内。<role-name> 元素用于在 Servlet 代码中定义安全角色或委托人（用户或组）的名称。<role-link> 元素映射到在 weblogic.xml 部署描述符中的 <security-role-assignment> 元素中定义的 <role-name>。

例如，如果客户端已作为安全角色为 manager 的用户 Bill 成功登录，则以下方法将返回 true：

request.isUserInRole("manager")

清单 3-17 提供了一个示例。

Servlet code: 
out.println("Is the user a Manager?" +
                 request.isUserInRole("manager"));

web.xml entries:

<servlet>
.. .
   <role-name>manager</role-name>
   <role-link>mgr</role-link>
.. .
</servlet>

<security-role>
   <role-name>mgr</role-name>
</security-role>

weblogic.xml entries:

<security-role-assignment>
   <role-name>mgr</role-name>
   <principal-name>bostonManagers</principal-name>
   <principal-name>Bill</principal-name>
   <principal-name>Ralph</principal-name>
</security-role-ref>

使用编程身份验证 API

有一些应用程序适合使用编程身份验证。

WebLogic Server 提供服务器端 API。该 API 支持从 Servlet 应用程序中进行编程身份验证：

weblogic.servlet.security.ServletAuthentication

通过使用该 API，可以编写 Servlet 代码来对用户执行身份验证、让用户登录，以及将用户与当前会话相关联，以便在默认（活动）安全领域中注册该用户。完成登录后，看上去就会像是用户使用标准机制登录一样。

您可以选择将 WebLogic 提供的两个类中的任意一个与 ServletAuthentication API 配合使用：weblogic.security.SimpleCallbackHandler 类或 weblogic.security.URLCallbackHandler 类。有关这些类的详细信息，请参阅 Javadocs for WebLogic Classes。

清单 3-18 所示为使用 SimpleCallbackHandler 的示例。清单 3-19 所示为使用 URLCallbackHandler 的示例。

CallbackHandler handler = new SimpleCallbackHandler(username,
                                                               password);
Subject mySubject =
        weblogic.security.services.Authentication.login(handler);
weblogic.servlet.security.ServletAuthentication.runAs(mySubject, request);
// 该处请求为 httpservletrequest 对象。

CallbackHandler handler = new URLCallbackHandler(username,
                                                           password);
Subject mySubject =
        weblogic.security.services.Authentication.login(handler);
weblogic.servlet.security.ServletAuthentication.runAs(mySubject, request);
// 该处请求为 httpservletrequest 对象。