容器管理驗證方法控制著當用戶訪問受保護的web應用資源時，如何進行用戶的身份鑒別。當一個web應用使用了Basic Authentication（BASIC參數(shù)在web.xml文件中auto-method元素中設置），而有用戶訪問受保護的web應用時，Tomcat將通過HTTP Basic Authentication方式，彈出一個對話框，要求用戶輸入用戶名和密碼。在這種驗證方法中，所有密碼將被以64位的編碼方式在網(wǎng)絡上傳輸。

注意：使用Basic Authentication通過被認為是不安全的，因為它沒有強健的加密方法，除非在客戶端和服務器端都使用HTTPS或者其他密碼加密碼方式（比如，在一個虛擬私人網(wǎng)絡中）。若沒有額外的加密方法，網(wǎng)絡管理員將能夠截獲（或濫用）用戶的密碼。但是，如果你是剛開始使用Tomcat，或者你想在你的web應用中測試一下基于容器的安全管理，Basic Authentication還是非常易于設置和使用的。只需要添加<security-constraint>和<login-config> 兩個元素到你的web應用的web.xml文件中，并且在CATALINA_BASE/conf/tomcat-users.xml 文件中添加適當?shù)?lt;role>和<user>即可，然后重新啟動Tomcat。

下面例子中的web.xml摘自一個俱樂部會員網(wǎng)站系統(tǒng)，該系統(tǒng)中只有member目錄被保護起來，并使用Basic Authentication進行身份驗證。。

<!--
Define the Members-only area, by defining
a "Security Constraint" on this Application, and
mapping it to the subdirectory (URL) that we want
to restrict.
-->
<security-constraint>
<web-resource-collection>
<web-resource-name>
Entire Application
</web-resource-name>
<url-pattern>/members/*</url-pattern>
</web-resource-collection>
<auth-constraint>
<role-name>member</role-name>
</auth-constraint>
</security-constraint>
<!-- Define the Login Configuration for this Application -->
<login-config>
<auth-method>BASIC</auth-method>
<realm-name>My Club Members-only Area</realm-name>
</login-config>

說明: <url-pattern>/members/*</url-pattern> 指定受保護的資源的url pattern

<auth-constraint>
<role-name>member</role-name>
</auth-constraint>
指定訪問需要的角色， 需要在tomcat-users.xml里添加 member 角色 ， 和自己指定的用戶名， 密碼。


至于客戶端的輸入的用戶名密碼， 由容器來處理， 不需程序控制
  回復  更多評論