web安全(一)Web安全入门一、Web安全性措施1、身份验证验证是识别一个人或系统(如应用程序)以及检验其资格的过程。在Intenet领域验证一个用户的基本方法通常是用户名和口令。2、授权授权是确定用户是否被允许访问他所请求的资源的过程。例如在银行系统中你只能访问你的银行账户而不能访问别人的银行账户。授权通常是通过一个访问控制列表(ACL)强制实施该列表指定了用户和它所访问的资源的类型。3、数据完整性数据完整性是指数据从发送者传输到接收者的过程中数据不被破坏。4、数据保密性数据保密性是保证除了应该访问它的用户外别人都不能访问。注意授权与保密的区别二者对信息的保密方式不同。授权是防止信息到达无权访问的用户而保密是保证信息即使被非法获取也不能被使用。二、验证的类型1、HTTP Basic验证HTTP的基本验证。它是由HTTP1.1规范定义的是一种保护资源的最简单和最常用的验证机制。当浏览器请求任何受保护的资源时服务器都要求一个用户名和口令。只有用户输入了合法的用户名/口令服务器才发送资源。2、HTTP Digest验证HTTP摘要验证。除了口令是以加密的方式发送其他与基本验证一样。优点比基本验证安全。缺点只能被IE5以上版本支持许多Servlet容器不支持。3、FORM-Based验证基于表单的验证。它类似于基本验证但它使用用户自定义的表单来获得用户名和口令。开发时必须创建包含表单的HTML页面。4、HTTPS Client验证客户证书验证。它采用HTTPS传输信息。HTTPS是在安全套接层之上的HTTPSSL可以保证Internet上敏感数据传输的保密性。在这种机制中当浏览器和服务器之间建立起SSL连接后所有的数据都以加密的形式传输。优点是这几种验证中最安全的。所有常用的浏览器都支持这种验证。缺点它需要一个证书授权机构。三、基本验证过程客户请求一个受保护资源时浏览器和Web容器之间实现身份验证的过程1浏览器向某个受保护资源(Servlet或JSPP)发送请求。此时浏览器并不知道资源是受保护的所以它发送的请求是一般的HTTP请求如GET/login.do HTTP/1.12当服务器接收到对资源的请求后首先在访问控制列表(ACL)中查看该资源是否是受保护的资源。如果不是服务器将该资源发送给用户如果是它并不直接发送该资源而是向客户发送一个401 Unauthorized(非授权)消息。在该消息中包含一个响应头告诉浏览器访问该资源需要验证。响应消息中还包括验证方法和安全域名称以及请求内容的长度和类型。3当浏览器收到响应消息后打开一个对话框提示输入用户名和密码。4当服务器收到该请求它将访问访问控制列表中检验用户名和密码如果是合法用户且该用户可以访问该资源它将发送资源并在浏览器中显示出来否则它将再一次发送401 Unauthorized消息浏览器再一次显示用户名/密码对话框。四、声明式安全与编程式安全1声明式安全是一个应用程序的安全结构包括角色、访问控制及验证需求都在应用程序外部表示。在应用程序内通过部署描述文件(web.xml)声明安全约束。它仅能针对URL来设置哪些资源必须受到保护。2编程式安全主要使用HttpServletRequest接口中的有关方法实现。五、用户与角色每个用户可以拥有一个或多个角色每个角色限定了可访问的Web资源。在Web应用中对资源的访问权限一般是分配给角色而不是实际的用户。一个用户可以访问其拥有的所有角色对应的Web资源。安全域模型的使用1定义角色、用户以及用户与角色的映射tomcat-users.xmltomcat-users role rolenamexxxx / role rolenamexxxx/ …… user usernamexxxx passwordxxxx / user usernamexxxx passwordxxxx rolesxxxx/ /tomcat-users注意在tomcat-users.xml中添加或者修改就鄂塞和用户后需要重新启动tomcat。2定义安全约束1security-constraint定义受保护的Web资源集合、访问资源的角色以及用户数据的约束①web-resource-collection定义一个或者多个Web资源集合②auth-constraint指定可以访问受限资源的角色③user-data-constraint指定数据应该如何在客户与服务器之间传输④2login-config元素 定义使用的验证机制。验证机制不同当Web客户访问受保护的Web资源时系统弹出的对话框不同3security-role元素 用来定义安全约束中引用的所有角色名《网络安全从零到精通全套学习大礼包》96节从入门到精通的全套视频教程免费领取如果你也想通过学网络安全技术去帮助就业和转行我可以把我自己亲自录制的96节 从零基础到精通的视频教程以及配套学习资料无偿分享给你。网络安全学习路线图想要学习 网络安全作为新手一定要先按照路线图学习方向不对努力白费。对于从来没有接触过网络安全的同学我帮大家准备了从零基础到精通学习成长路线图以及学习规划。可以说是最科学最系统的学习路线大家跟着这个路线图学习准没错。配套实战项目/源码所有视频教程所涉及的实战项目和项目源码学习电子书籍学习网络安全必看的书籍和文章的PDF市面上网络安全书籍确实太多了这些是我精选出来的面试真题/经验以上资料如何领取