zoukankan      html  css  js  c++  java

  • 访问WEB-INF下的JSP （转载）

    转载一：
    把那些限制访问的资源（比如说    jsp源代码）放到Web应用的WEB-INF目录下，对于/web-INF/及其子目录，不允许直接的公共访问，所以就可以起到保护这些代码未经授权的访问和窥视，更好的保护了源代码（19页）。

          这么书只是对这种方法进行了简单的介绍，没有描述详细处理方法，我测试了一下，没有办法对放到/WEB-INF的文件进行访问，所以我就上网搜索了一下，才明白了具体的处理方法，感觉非常适合用在STRUTS结构上的系统。下面请听我详细说明。

    通常JSP开发人员会把他们的页面文件存放在Web应用相应的子目录下。一个典型的商店应用程序的目录结构如图2所示。跟catalog （商品目录）相关的JSP被保存在catalog子目录下。跟customer相关的JSP，跟订单相关的JSP等都按照这种方法存放。

    图 2.基于不同的功能 JSP 被放置在不同的目录下

     

     

    这种方法的问题是这些页面文件容易被偷看到源代码，或被直接调用。某些场合下这可能不是个大问题，可是在特定情形中却可能构成安全隐患。用户可以绕过Struts的controller直接调用JSP同样也是个问题。

    为了减少风险，可以把这些页面文件移到WEB-INF 目录下。基于Servlet的声明，WEB-INF不作为Web应用的公共文档树的一部分。因此，WEB-INF 目录下的资源不是为客户直接服务的。我们仍然可以使用WEB-INF目录下的JSP页面来提供视图给客户，客户却不能直接请求访问JSP。

    采用前面的例子，图3显示将JSP页面移到WEB-INF 目录下后的目录结构

    图 3. JSP存放在 WEB-INF 目录下更为安全

     

     

     

        如果把这些JSP页面文件移到WEB-INF 目录下，在调用页面的时候就必须把"WEB-INF"添加到URL中。

        我们知道，实现页面的跳转有两种方式，一种是通过redirect的方式，一种是通过forward的方式。redirect方式的跳转，系统会在一个新的页面打开要跳转的网页；而forward方式跳转，系统会在原来的页面上打开一个要跳转的网页。所以放到WEB-INF目录下的文件是不允许采用redirect方式的跳转来访问的，如下

    例1：/test/test1.jsp文件

    <html>

      <body>

        <form name="testform" action="/WEB-INF/jsp/test/test.jsp">

          <input type = "submit" value="test">

        </form>

      </body>

    </html>

        上面这段语句只有一个名为test的按钮，如果单击这个按钮是，系统就会跳转到/WEB-INF/jsp/test/test.jsp，它的代码如下：

    例2：/WEB-INF/jsp/test/test.jsp文件

    <html>

    <body>

    跳转成功!

    </body>

    </html>

    事实上，这个跳转是无法成功的，点击按钮后，IE会报“403 Forbidden”的错误。

     

     

     

     

    而forward方式的跳转则可以成功，如下代码：

    例3：/test/test2.jsp文件

    <html>

    <body>

    <form name="testform">

    <jsp:forward page = "/WEB-INF/jsp/test/test.jsp" />

    </form>

    </body>

    </html>

        请注意上面红色的语句，这段就是通过forward的形式来访问/WEB-INF/jsp/test/test.jsp文件，在IE输入地址http://localhost/test1/test2.jsp，网页上就显示“跳转成功！”的信息了，这表示放到了WEB-INF可以通过forward的方式来访问。

     

     

     

     

        个人认为，像这种方式的可能不大时候采用一般jsp进行编程的系统，因为很多页面上都有采用submit这样的方式来进行跳转，但这种方式却非常适合采用struts结构的系统。因为采用这个结果大多是先跳转到一个Action类，然后在Action类进行相关处理后（比如说获取相关的信息保存到session中，进行有效性的判断），然后再forward到另外一个页面，这样放到WEB-INF中的jsp代码可以被正常访问，也防止了对这些页面的直接访问，下面我来举例说明。

        下面我们先对配置文件struts-config.xml进行配置，如下：

    例4：WEB-INF/struts-config.xml文件

    <?xml version="1.0" encoding="ISO-8859-1" ?>

    <!DOCTYPE struts-config PUBLIC "-//Apache Software Foundation//DTD Struts Configuration 1.1//EN" "http://jakarta.apache.org/struts/dtds/struts-config_1_1.dtd">

    <struts-config>

    <!-- ========== Action Mapping Definitions ============================== -->

      <action-mappings>

    <action path="/test"

                 type=" test.TestAction"

                 scope="request">

                 <forward name="test" path="/WEB-INF/jsp/test/test.jsp"/>

          </action>

      </action-mappings>

    </struts-config>

        上面这个配置非常简单，请看红色部分，这里定义了一个action类，它的路径为/test，所对应的类为test.TestAction.java，它都一个跳转页面，别名为test，对应的页面为/WEB-INF/jsp/test/test.jsp。

        下面我们对例1的内容进行修改，使其跳转到/test去。

    例5：修改后的/test/test1.jsp文件

    <html>

      <body>

        <form name="testform" action="/test">

          <input type = "submit" value="test">

        </form>

      </body>

    </html>

        这样我们在IE中访问http://localhost/test/test1.jsp，然后点击test按钮，页面就会跳转到test.TestAction.java这个类来，下面是这个类的内容。

    package test;



     

    import javax.servlet.http.*;

    import org.apache.struts.action.ActionMapping;

    import org.apache.struts.action.Action;

    import org.apache.struts.action.ActionForm;

    import org.apache.struts.action.ActionForward;

     

     

    public class TestAction extends Action

    {

      public ActionForward perform(ActionMapping mapping,

                                     ActionForm form, HttpServletRequest req,

                                     HttpServletResponse res)

        {

          return mapping.findForward("test");

       }

     

    }

        可以看到，这个类是继承Action类的，所有的控制类都必须继承Action类，这个类里面有一个perform方法，跳转到这个类都是从这个方法进行访问的（新版本可以是execute方法），现在这个方法里面只有一条语句，这句话的意思就是跳转到一个别名为test的页面，也就是/WEB-INF/jsp/test/test.jsp页面，这样我们点击test按钮后，IE就会显示“跳转成功！”这条信息，这表示系统允许这样的跳转。


    转载二：

    因为web-inf下,应用服务器把它指为禁访目录,即直接在浏览器里是不能访问到的.
    但是可以让servlet进行访问,如web-inf下有a.jsp则可以用request.getrequestdispatcher("/web-inf/a.jsp").forward(request,response);  

    补充一下，如果你想访问web-inf下的htm文件的话，用request.getrequestdispatcher("/web-inf/a.htm").forward(request,response);是访问不了的。
    原因很简单，jsp就是servlet，会被编译成class文件，而htm的就不行了。
    所以需要配置以下conf下的web.xml文件才能去访问htm。
    具体实现如下：
    用打开tomcat安装目录下conf下的web.xml文件，找到
    <servlet-mapping>
    <servlet-name>jsp</servlet-name>
    <url-pattern>*.jsp</url-pattern>
    </servlet-mapping>
    然后在它下面添加
    </servlet-mapping>
    <servlet-mapping>
    <servlet-name>jsp</servlet-name>
    <url-pattern>*.html</url-pattern>
    </servlet-mapping>

    这样的话，你就能用request.getrequestdispatcher("/web-inf/a.htm").forward(request,response);去访问web-inf下的htm了 
  • 相关阅读:
    单例模式及其调用
    SQL 语句中left join 与join 条件放置位置，进而影响SQL语句的执行效率的问题
    用辩证的方法去看待项目管理（《最后期限》、《人月神话》），没有最好的项目管理方案，只有最适合的。
    关于Aspose.Words插入表格单元格的高度问题的解决
    google guava cache
    jvm 设置
    Heron 数据模型,API和组件介绍
    基数统计的常用方法
    apache storm 1.0.0 新特性
    spark的那些坑
  • 原文地址：https://www.cnblogs.com/JZZ1026/p/4417336.html
Copyright © 2011-2022 走看看