在web應用程序的配置文件web.xml里定義了以下幾個標簽，用于對受限資源訪問的管理。
<security-constraint>
- 用來指定受保護的web資源以及對其可以訪問的角色。
| 子元素 |
描述 |
| <web-resource-collection> |
聲明受保護的web資源 |
| <web-resource-name> |
指定受保護資源的名字，是<web-resource-collection>的子元素 |
| <url-pattern> |
受保護的URL路徑，是<web-resource-collection>的子元素 |
| <http-method> |
指定受保護的HTTP訪問方法（包括DELETE,GET,POST和PUT），如果不定義，表示所有的方法都受保護，是<web-resource-collection>的子元素 |
| <auth-constraint> |
指定受保護資源安全限制 |
| <role-name> |
指定可以訪問受保護資源的角色名，為<auth-constraint>的子元素 |
<login-config>
- 用來指定客戶在訪問受保護的web資源時，系統對客戶進行驗證的類型。
| 子元素 |
描述 |
| <auth-method> |
系統對客戶驗證的類型，有BASIC,DIGEST,FORM3種 |
| <realm-name> |
設定使用的Realm名稱 |
| <form-login-config> |
使用FORM驗證時的配置信息 |
| <form-login-page> |
使用FORM驗證時的登錄頁面，是<form-login-config>的子元素 |
| <form-error-page> |
使用FORM驗證時的錯誤處理頁面，是<form-login-config>的子元素 |
<security-role>
- 用來聲明web應用的角色名稱。
| 子元素 |
描述 |
| <description> |
對當前的<security-role>元素進行描述 |
| <role-name> |
引用的角色名稱 |