Deel XIX Security, Servlets & authenticatieDeel XIX Security, Servlets & authenticatie
11
InternetapplicatiesInternetapplicaties
Deel XIX:Deel XIX:
Security,Security,
Servlets & AuthenticatieServlets & Authenticatie
Deel XIX Security, Servlets & authenticatie
2
InhoudInhoud
Herhaling: verband tussen JSP en Java: servletsHerhaling: verband tussen JSP en Java: servlets
De plaats van servlets in een JSP-applicatieDe plaats van servlets in een JSP-applicatie
Als hulpmiddel voor jsp’sAls hulpmiddel voor jsp’s
Als controller in MVCAls controller in MVC
De servlet-architectuurDe servlet-architectuur
Een servlet laten draaienEen servlet laten draaien
VoorbeeldServlet.javaVoorbeeldServlet.java
web.xmlweb.xml
Authenticatie met servletsAuthenticatie met servlets
BasicBasic
Form basedForm based
Deel XIX Security, Servlets & authenticatie
3
Even herhalen:Verband tussen JSP en Java:ServletsEven herhalen:Verband tussen JSP en Java:Servlets
1. Iemand schrijft een JSP, bvb hallo.jsp:1. Iemand schrijft een JSP, bvb hallo.jsp:
HTMLHTML
script-tags <% ..%> met java-code ertussenscript-tags <% ..%> met java-code ertussen
-> deze code hoef je zelf niet te compileren-> deze code hoef je zelf niet te compileren
Eventueel speciale tags <jsp: /> om JavaBeans tegebruikenEventueel speciale tags <jsp: /> om JavaBeans tegebruiken
2. Hallo.jsp wordt opgevraagd in een request. De ‘java-enabled web container’ (bij ons de Tomcat webserver) doet het volgende:2. Hallo.jsp wordt opgevraagd in een request. De ‘java-enabled web container’ (bij ons de Tomcat webserver) doet het volgende:
zet hallo.jsp om naar hallo_jsp.java die een zogenaamdeservlet iszet hallo.jsp om naar hallo_jsp.java die een zogenaamdeservlet is
compileert dit bestand tot hallo_jsp.class .compileert dit bestand tot hallo_jsp.class .
Deel XIX Security, Servlets & authenticatie
4
Even herhalen:Verband tussen JSP en Java:ServletsEven herhalen:Verband tussen JSP en Java:Servlets
3. De servlet (letterlijk servertje) zal dan3. De servlet (letterlijk servertje) zal dan
dynamisch html-pagina’s genererendynamisch html-pagina’s genereren
ze doorsturen naar de browsers.ze doorsturen naar de browsers.
(View/Source geeft jsp-bestand niet weer)(View/Source geeft jsp-bestand niet weer)
4. Van zodra de hello.jsp-broncode isveranderd, en een request dit bestandopnieuw aanvraagt, dan zal Tomcat ditmerken en hello_jsp.java en hello_jsp.classoverschrijven met nieuwe versies.4. Van zodra de hello.jsp-broncode isveranderd, en een request dit bestandopnieuw aanvraagt, dan zal Tomcat ditmerken en hello_jsp.java en hello_jsp.classoverschrijven met nieuwe versies.
Deel XIX Security, Servlets & authenticatie
5
De plaats van servlets in een JSP-applicatieDe plaats van servlets in een JSP-applicatie
Als hulpmiddel om JSPs te kunnen gebruikenAls hulpmiddel om JSPs te kunnen gebruiken
De gegenereerde _jsp.java-bestanden NIETmanueel wijzigen!De gegenereerde _jsp.java-bestanden NIETmanueel wijzigen!
Als controller in een MVC-architectuur.Als controller in een MVC-architectuur.
Wij hebben bij de MVC-les een jsp gebruikt alscontroller. Normaal wordt een servlet gebruikt.Wij hebben bij de MVC-les een jsp gebruikt alscontroller. Normaal wordt een servlet gebruikt.
N.B. servlets zijn ouder dan jsp’s.N.B. servlets zijn ouder dan jsp’s.
Deel XIX Security, Servlets & authenticatie
6
De Servlet-architectuurDe Servlet-architectuur
(GRATIS tool voor klassen- enpackagediagrammen:
http://argouml.tigris.org)
Dit is je eigen servletDit is je eigen servlet
Deel XIX Security, Servlets & authenticatie
7
De Servlet-architectuurDe Servlet-architectuur
Deel XIX Security, Servlets & authenticatie
8
Een servlet laten draaien:VoorbeeldServlet.javaEen servlet laten draaien:VoorbeeldServlet.java
import java.io.*;import java.io.*;
import javax.servlet.*;import javax.servlet.*;
import javax.servlet.http.*;import javax.servlet.http.*;
public class VoorbeeldServlet extends HttpServlet {public class VoorbeeldServlet extends HttpServlet {
public void doGet(HttpServletRequest request, public void doGet(HttpServletRequest request,
HttpServletResponse response) HttpServletResponse response)
throws ServletException, IOException { throws ServletException, IOException {
response.setContentType("text/html"); response.setContentType("text/html");
PrintWriter out = response.getWriter(); PrintWriter out = response.getWriter();
out.println("<h1>Servlet says Hello</h1>"); out.println("<h1>Servlet says Hello</h1>");
out.close(); out.close();
} }
public void doPost(HttpServletRequest request, public void doPost(HttpServletRequest request,
HttpServletResponse response) HttpServletResponse response)
throws ServletException, IOException { throws ServletException, IOException {
doGet(request, response); doGet(request, response);
} }
}}
Deel XIX Security, Servlets & authenticatie
9
Een servlet laten draaien:web.xmlEen servlet laten draaien:web.xml
<?xml version="1.0" encoding="ISO-8859-1"?><?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE web-app<!DOCTYPE web-app
PUBLIC "-//Sun Microsystems, Inc.//DTD WebApplication 2.3//EN" PUBLIC "-//Sun Microsystems, Inc.//DTD WebApplication 2.3//EN"
"http://java.sun.com/dtd/web-app_2_3.dtd"> "http://java.sun.com/dtd/web-app_2_3.dtd">
<web-app><web-app>
<servlet-mapping> <servlet-mapping>
<servlet-name>invoker</servlet-name> <servlet-name>invoker</servlet-name>
<url-pattern>/servlet/*</url-pattern> <url-pattern>/servlet/*</url-pattern>
</servlet-mapping> </servlet-mapping>
</web-app></web-app>
Deel XIX Security, Servlets & authenticatie
10
Een servlet laten draaienEen servlet laten draaien
Bewaar de broncode vanVoorbeeldServlet.java in de mapBewaar de broncode vanVoorbeeldServlet.java in de map
../webapps/hfdst19/WEB-INF/classes../webapps/hfdst19/WEB-INF/classes
Compileer VoorbeeldServlet.javaCompileer VoorbeeldServlet.java
Bewaar het bestand web.xml inBewaar het bestand web.xml in
../webapps/hfdst19/WEB-INF../webapps/hfdst19/WEB-INF
Tomcat afsluiten en heropstrartenTomcat afsluiten en heropstrarten
In Start/Run of in je browser tik je:In Start/Run of in je browser tik je:
http://localhost:8080/hfdst19/servlet/VoorbeeldServlethttp://localhost:8080/hfdst19/servlet/VoorbeeldServlet
Deel XIX Security, Servlets & authenticatie
11
ResultaatResultaat
Deel XIX Security, Servlets & authenticatie
12
Authenticatie met servletsAuthenticatie met servlets
GebruikersauthenticatieGebruikersauthenticatie
Betekent: controle of de gebruiker wel is wie hij beweert tezijn: iemand met bepaalde rechten.Betekent: controle of de gebruiker wel is wie hij beweert tezijn: iemand met bepaalde rechten.
De servlet 2.3-specificatie voorziet:De servlet 2.3-specificatie voorziet:
HTTP BasicHTTP Basic
HTTP Digest (niet behandeld, zoals HTTP Basic, maarveiliger)HTTP Digest (niet behandeld, zoals HTTP Basic, maarveiliger)
Form basedForm based
HTTPS client (niet behandeld, gebruikt certificaten en desecure sockets layer)HTTPS client (niet behandeld, gebruikt certificaten en desecure sockets layer)
Deel XIX Security, Servlets & authenticatie
13
HTTP Basic AuthenicationHTTP Basic Authenication
Maakt gebruik van ingebouwd dialoogvensterMaakt gebruik van ingebouwd dialoogvenster
Nodig:Nodig:
Een servletEen servlet
Een goed ingevuld web.xml-bestandEen goed ingevuld web.xml-bestand
Deel XIX Security, Servlets & authenticatie
14
HTTP Basic: ProtectedServlet.javaHTTP Basic: ProtectedServlet.java
import javax.servlet.*;import javax.servlet.*;
import javax.servlet.http.*;import javax.servlet.http.*;
import java.io.*;import java.io.*;
import java.util.*;import java.util.*;
import java.security.*;import java.security.*;
public class ProtectedServlet extends HttpServletpublic class ProtectedServlet extends HttpServlet
{{
public void init(ServletConfig cfg) throws ServletException public void init(ServletConfig cfg) throws ServletException
{ {
super.init(cfg); super.init(cfg);
} }
public void doGet(HttpServletRequest req, HttpServletResponse res) public void doGet(HttpServletRequest req, HttpServletResponse res)
throws IOException, ServletException throws IOException, ServletException
{ {
res.setContentType("text/plain"); res.setContentType("text/plain");
PrintWriter out = res.getWriter(); PrintWriter out = res.getWriter();
String authType = req.getAuthType(); String authType = req.getAuthType();
out.println("U mag deze pagina bekijken"); out.println("U mag deze pagina bekijken");
out.println("De authenticatiemethode hier gebruikt is de " +authType + " authenticatiemethode"); out.println("De authenticatiemethode hier gebruikt is de " +authType + " authenticatiemethode");
Principal princ = req.getUserPrincipal(); Principal princ = req.getUserPrincipal();
out.println("De gebruiker is: " + princ.getName()); out.println("De gebruiker is: " + princ.getName());
} }
}}
Deel XIX Security, Servlets & authenticatie
15
HTTP Basic: web.xmlHTTP Basic: web.xml
<servlet> <servlet>
<servlet-name>protected</servlet-name> <servlet-name>protected</servlet-name>
<servlet-class>ProtectedServlet</servlet-class> <servlet-class>ProtectedServlet</servlet-class>
</servlet> </servlet>
<servlet-mapping><servlet-mapping>
<servlet-name>protected</servlet-name> <servlet-name>protected</servlet-name>
<url-pattern>/protected</url-pattern><url-pattern>/protected</url-pattern>
</servlet-mapping> </servlet-mapping>
<security-constraint> <security-constraint>
<web-resource-collection> <web-resource-collection>
<web-resource-name>Protected Area</web-resource-name> <web-resource-name>Protected Area</web-resource-name>
<url-pattern>/protected</url-pattern><url-pattern>/protected</url-pattern>
</web-resource-collection></web-resource-collection>
<auth-constraint><auth-constraint>
<role-name>begjsp3</role-name> <role-name>begjsp3</role-name>
</auth-constraint></auth-constraint>
</security-constraint> </security-constraint>
<login-config><login-config>
<auth-method>BASIC</auth-method> <auth-method>BASIC</auth-method>
<realm-name>Dit is HTTP-Basic-authenticatie2</realm-name><realm-name>Dit is HTTP-Basic-authenticatie2</realm-name>
</login-config></login-config>
Deel XIX Security, Servlets & authenticatie
16
HTTP Basic: tomcat-users.xmlHTTP Basic: tomcat-users.xml
<?xml version='1.0' encoding='utf-8'?><?xml version='1.0' encoding='utf-8'?>
<tomcat-users><tomcat-users>
<role rolename="begjsp3"/> <role rolename="begjsp3"/>
<role rolename="role1"/> <role rolename="role1"/>
<role rolename="tomcat"/> <role rolename="tomcat"/>
<user username="newuser" password="tomcat"roles="begjsp3"/> <user username="newuser" password="tomcat"roles="begjsp3"/>
<user username="both" password="tomcat"roles="tomcat,role1"/> <user username="both" password="tomcat"roles="tomcat,role1"/>
<user username="role1" password="tomcat"roles="role1"/> <user username="role1" password="tomcat"roles="role1"/>
<user username="tomcat" password="tomcat"roles="tomcat"/> <user username="tomcat" password="tomcat"roles="tomcat"/>
</tomcat-users></tomcat-users>
Deel XIX Security, Servlets & authenticatie
17
HTTP Basic: testHTTP Basic: test
Bewaar en compileer de broncode vanBewaar en compileer de broncode van
ProtectedServlet.java in de map ProtectedServlet.java in de map
…/webapps/hfdst19/WEB-INF/classes…/webapps/hfdst19/WEB-INF/classes
Overschrijf het bestand web.xml inOverschrijf het bestand web.xml in
…/webapps/hfdst19/WEB-INF…/webapps/hfdst19/WEB-INF
Pas het bestand tomcat-users.xml aan inPas het bestand tomcat-users.xml aan in
…/conf…/conf
Tomcat afsluiten en heropstrartenTomcat afsluiten en heropstrarten
In Start/Run of in je browser tik je:In Start/Run of in je browser tik je:
http://localhost:8080/hfdst19/protectedhttp://localhost:8080/hfdst19/protected
Deel XIX Security, Servlets & authenticatie
18
ResultaatResultaat
Deel XIX Security, Servlets & authenticatie
19
ResultaatResultaat
Deel XIX Security, Servlets & authenticatie
20
Form Based AuthenticationForm Based Authentication
Nodig:Nodig:
Een klein bestand login.jsp, die aan bepaaldevormeisen voldoet.Een klein bestand login.jsp, die aan bepaaldevormeisen voldoet.
Een klein bestand error.jsp, die automatischaangeroepen wordt bij inlogproblemenEen klein bestand error.jsp, die automatischaangeroepen wordt bij inlogproblemen
Een beschermd jsp-bestand.Een beschermd jsp-bestand.
Een correct bestand web.xmlEen correct bestand web.xml
Deel XIX Security, Servlets & authenticatie
21
Form Based: index.jspForm Based: index.jsp
<html><html>
<head> <head>
<title>Beschermde pagina</title> <title>Beschermde pagina</title>
</head> </head>
<body> <body>
<% <%
out.println("<h2> Authenticatiemethode is " out.println("<h2> Authenticatiemethode is "
+ request.getAuthType() + " </h2>"); + request.getAuthType() + " </h2>");
%> %>
</body> </body>
</html></html>
Deel XIX Security, Servlets & authenticatie
22
Form-based: login.jspForm-based: login.jsp
<html><html>
<head> <head>
<title>Inlogpagina</title> <title>Inlogpagina</title>
</head> </head>
<body> <body>
<form method = "POST" action = "j_security_check"> <form method = "POST" action = "j_security_check">
<input type = "text" name = "j_username"> <input type = "text" name = "j_username">
<input type = "password" name = "j_password"> <input type = "password" name = "j_password">
<input type = "submit" value = "Laat me binnen !" > <input type = "submit" value = "Laat me binnen !" >
</form> </form>
</body> </body>
</html></html>
VERPLICHT DEZE NAMENVERPLICHT DEZE NAMEN
Deel XIX Security, Servlets & authenticatie
23
Form Based: error.jspForm Based: error.jsp
<html><html>
<head> <head>
<title>Foutpagina</title> <title>Foutpagina</title>
</head> </head>
<body> <body>
Inloggen mislukt. Inloggen mislukt.
Ga naar de Ga naar de
<a href = "login.jsp" >loginpagina(login.jdp)</a> <a href = "login.jsp" >loginpagina(login.jdp)</a>
</body> </body>
</html></html>
Deel XIX Security, Servlets & authenticatie
24
Form Based: web.xmlForm Based: web.xml
<security-constraint> <security-constraint>
<web-resource-collection> <web-resource-collection>
<web-resource-name>Protected Area</web-resource-name> <web-resource-name>Protected Area</web-resource-name>
<url-pattern>/*</url-pattern> <url-pattern>/*</url-pattern>
</web-resource-collection> </web-resource-collection>
<auth-constraint> <auth-constraint>
<role-name>begjsp3</role-name> <role-name>begjsp3</role-name>
</auth-constraint> </auth-constraint>
</security-constraint> </security-constraint>
<login-config> <login-config>
<auth-method>FORM</auth-method> <auth-method>FORM</auth-method>
<form-login-config> <form-login-config>
<form-login-page>/login.jsp</form-login-page> <form-login-page>/login.jsp</form-login-page>
<form-error-page>/error.jsp</form-error-page> <form-error-page>/error.jsp</form-error-page>
</form-login-config> </form-login-config>
</login-config> </login-config>
Deel XIX Security, Servlets & authenticatie
25
Form Based: testForm Based: test
Overschrijf het bestand web.xml inOverschrijf het bestand web.xml in
…/webapps/hfdst19/WEB-INF…/webapps/hfdst19/WEB-INF
Bewaar de jsp-bestanden op de normaleplaats in …/webapps/hfdst19Bewaar de jsp-bestanden op de normaleplaats in …/webapps/hfdst19
Tomcat afsluiten en heropstrartenTomcat afsluiten en heropstrarten
In Start/Run of in je browser tik je:In Start/Run of in je browser tik je:
Deel XIX Security, Servlets & authenticatie
26
ResultaatResultaat
Deel XIX Security, Servlets & authenticatie
27
Hoe uitloggen ?Pas index.html aanHoe uitloggen ?Pas index.html aan
<html><html>
<head> <head>
<title>Beschermde pagina</title> <title>Beschermde pagina</title>
</head> </head>
<body> <body>
<% <%
out.println("<h2> Authenticatiemethode is " +request.getAuthType() + " </h2>"); out.println("<h2> Authenticatiemethode is " +request.getAuthType() + " </h2>");
%> %>
<a href="logout.jsp"> log out </a> <a href="logout.jsp"> log out </a>
</body> </body>
</html></html>
Deel XIX Security, Servlets & authenticatie
28
Maak logout.jspMaak logout.jsp
<html><html>
<head> <head>
</head> </head>
<body> <body>
<% <%
session.invalidate(); session.invalidate();
%> %>
</body> </body>
</html></html>
Deel XIX Security, Servlets & authenticatie
29
Hoe controleren of je echt uitgelogdbent ?Hoe controleren of je echt uitgelogdbent ?
Tik in:Tik in:
OfOf
Je moet nu inloggen (login.jsp wordt getoond)Je moet nu inloggen (login.jsp wordt getoond)
Je geraakt binnen (je komt in index.jsp)Je geraakt binnen (je komt in index.jsp)
Nu alle browservensters sluiten en opnieuw tikken:Nu alle browservensters sluiten en opnieuw tikken:
Je komt ineens in index.jsp, je bent nog steedsingelogd !Je komt ineens in index.jsp, je bent nog steedsingelogd !
Deel XIX Security, Servlets & authenticatie
30
Hoe controleren of je echt uitgelogdbent ? (vervolg)Hoe controleren of je echt uitgelogdbent ? (vervolg)
Klik nu op logoutKlik nu op logout
Sluit all browservenstersSluit all browservensters
Tik:Tik:
Je moet nu weer inloggen. Blijkbaar ben jeeffectief uitgelogdJe moet nu weer inloggen. Blijkbaar ben jeeffectief uitgelogd