Click the link below:

Tuning Java I/O Performance

and Also the Java NIO Reference Documents below:

http://java.sun.com/j2se/1.4.2/docs/guide/nio/
文章來源:http://x-spirit.spaces.live.com/Blog/cns!CC0B04AE126337C0!794.entry

【轉自】http://hi.baidu.com/kangqii/blog/item/f8495043f70c3a1572f05d4e.html

最近要做一個CRM，登錄時數字證書要有驗證的功能，在用戶登錄時除了效驗用戶名密碼，還需驗證其數字證書
相關資源：IBM developerWroks中國中的tomcat4中使用SSL，javaeye中的Acegi X.509雙向認證
與tomcat4中使用SSL中的異同：jdk1.4中已經包含JSSE
與AcegiX.509雙向認證中的異同：tomcat6配置文件多了SSLEnabled="true"屬性
1.生成CA證書目前不使用第三方權威機構的CA來認證，自己充當CA的角色

1.創建私鑰 ：C:\OpenSSL\apps>openssl genrsa -out root/root-key.pem 1024
2.創建證書請求 ：C:\OpenSSL\apps>openssl req -new -out root/root-req.csr -key root/root-key.pem
3.自簽署證書 ：C:\OpenSSL\apps>openssl x509 -req -in root/root-req.csr -out root/root-cert.pem -signkey
root/root-key.pem -days 3650
4.將證書導出成瀏覽器支持的.p12格式 ：C:\OpenSSL\apps>openssl pkcs12 -export -clcerts -in root/root-cert.pem -inkey
root/root-key.pem -out root/root.p12

2.生成server證書

1.創建私鑰 ：C:\OpenSSL\apps>openssl genrsa -out server/server-key.pem 1024
2.創建證書請求 ：C:\OpenSSL\apps>openssl req -new -out server/server-req.csr -key server/server-key.pem
3.自簽署證書 ：C:\OpenSSL\apps>openssl x509 -req -in server/server-req.csr -out server/server-cert.pem -signkey
server/server-key.pem -CA root/root-cert.pem -CAkey root/root-key.pem -CAcreateserial -days 3650
4.將證書導出成瀏覽器支持的.p12格式 ：C:\OpenSSL\apps>openssl pkcs12 -export -clcerts -in server/server-cert.pem -inkey
server/server-key.pem -out server/server.p12

3.生成client證書

1.創建私鑰 ：C:\OpenSSL\apps>openssl genrsa -out client/client-key.pem 1024
2.創建證書請求 ：C:\OpenSSL\apps>openssl req -new -out client/client-req.csr -key client/client-key.pem
3.自簽署證書 ：C:\OpenSSL\apps>openssl x509 -req -in client/client-req.csr -out client/client-cert.pem -signkey
client/client-key.pem -CA root/root-cert.pem -CAkey root/root-key.pem -CAcreateserial -days 3650
4.將證書導出成瀏覽器支持的.p12格式 ：C:\OpenSSL\apps>openssl pkcs12 -export -clcerts -in client/client-cert.pem -inkey
client/client-key.pem -out client/client.p12

4.根據root證書生成jks文件

C:\OpenSSL\apps\root>keytool -import -v -trustcacerts -storepass password -alias root -file root-cert.pem
-keystore root.jks

5.配置tomcat ssl，修改conf/server.xmltomcat6中多了SSLEnabled="true"屬性
keystorefile, truststorefile設置為你正確的相關路徑

xml 代碼

1. <connector secure="true" scheme="https" protocol="HTTP/1.1" port="8443"
2. sslenabled="true" maxhttpheadersize="8192" maxthreads="150"
3. minsparethreads="25" maxsparethreads="75" enablelookups="false"
4. disableuploadtimeout="true" acceptcount="100" sslprotocol="TLS"
5. clientauth="true" keystorefile="d:/path/bin/x509/server.p12"
6. keystoretype="PKCS12" keystorepass="123456" truststorefile="d:/path/bin/x509/root.jks"
7. truststoretype="JKS" truststorepass="123456"/>

6.將root.p12，client.p12分別導入到IE中去（打開IE->;Internet選項->內容->證書）

root.p12導入至受信任的根證書頒發機構，client.p12導入至個人

7.訪問你的應用http://ip:8443，如果配置正確的話會出現請求你數字證書的對話框
8.在jsp中取得符合x.509格式的證書

java 代碼

1. <%??????
2. //獲得certificate chain???
3. ???????? X509Certificate[] ca=(X509Certificate[])request.getAttribute("javax.servlet.request.X509Certificate");?????
4. if(ca==null)?????
5. ?????? {?????
6. ???????? out.println("No cert info!");?????
7. ?????? } else {?????
8. ???????? String?? serial=ca[0].getSerialNumber().toString();?????
9. ???????? String DN=ca[0].getSubjectDN().toString();???????
10. ?????? }?????
11. ?????? %>?

文章來源:http://x-spirit.spaces.live.com/Blog/cns!CC0B04AE126337C0!792.entry

切換到SSL再切換回來

原文鏈接：http://hi.baidu.com/jcjxwxb/blog/item/a4a6f301b4416e06738da598.html

Switch to SSL and back again

◆ 問題

怎樣在應用程序中使用SSL。

◆ 背景

大多數組織把信息資料當作他們的最寶貴的資產。保護信息的工作不僅僅是象開發者和管理員似的一個專職的工作而已。信息的保護必須從許多不同的角度實施。數據庫，用戶界面和商業層只是這些需要你注意的關鍵領域的某些方面。甚至通往服務器機房的門都必須被鎖住。更重要的是，一旦這些數據經由因特網離開了這些建筑物，它的安全就會被一些很有才能的在網絡上用電子手段刺探的人危及。

在本方法中，我們示范怎樣在容器中啟動Secure Socket Layer (SSL)。另外，我們為你介紹Struts SSL 的擴展，HTTP/HTTPS切換庫——一個允許你聲明哪些Action啟用了SSL 的程序包。這個很好用的程序包允許你在SSL-激活的Action和禁止的Action之間很容易地轉換。

進入本方法之前，讓我們涉及一些SSL 基礎。SSL原來是一個由Netscape 開發的網絡協議，來提供認證和傳輸保密性。SSL 協議屬于TCP/IP之上的網絡層，但是低于應用協議，比如HTTP ，LDAP和IMAP。在傳送前客戶端檢驗服務器的身份。 類似的，服務器端也可能可選地檢驗客戶端的身份。為了阻斷數字偷聽者的努力，這兩個主機就一個密碼算法達成一致協議，通常叫做一個密碼，來加密和解密傳送的數據。除提供機密性之外，SSL 對傳送過程進行審計，來保證傳輸的數據在途中未被篡改。整個SSL 的工作方式超出了這個方法的范圍，但是我們鼓勵你利用一些在資源部分提到的資源探索SSL。

大多數容器，包括Tomcat ，提供SSL 服務。在你容器上啟動SSL 確保你的通訊是安全的和不被篡改的。容器能通過檢查URL 方案識別出SSL 通訊。URL 方案是URL 中冒號前面的那部分。HTTP 非保密協議是用冒號之前的“HTTP”識別的。例如，http://127.0.0.1指出一個非保密http 協議。一個“s”放置在http 后，來表明該請求希望使用SSL 傳送。例如，https://127.0.0.1是用于一個SSL http 請求的適當的URL。

許多應用程序兼具SSL 和非SSL連接。這里面的挑戰是當你要一個安全通信的時候，怎樣格式化你的連接成為SSL 。作為默認，Struts 鏈接標簽使用與你正在瀏覽的當前頁面相同的URI 方案。所以，如何從一個安全的頁面到一個不安全的頁面建立一個鏈接，或者反過來怎么做呢？一個選擇是建立你自己的鏈接標簽來寫SSL 鏈接，但是這會迅速地導致維護的負擔，只要你需要把鏈接從一個轉變到另一個的任何時候。現在如果你能通過在struts-config.xml 文件中聲明來做這個，你會成為一個幸福的露營者了。你可以使用標簽來寫你的鏈接，但是一旦情況發生變化，你可以在struts-config.xml 文件中聲明性地改變它們。很幸運，那剛好是Struts SSL HTTP/HTTPS 切換擴展庫為你做的。在這個方法中，我們展示怎樣用Tomcat 設立SSL。然后我們展示怎樣在你的應用程序中設立和使用ssl-ext 來加密網上傳輸的數據。完整的SSL 認證的說明超出了本書的范圍；實際上，我們集中在Struts 開發的SSL方面。

◆ 方法

本方法的實現被分成三個部分。在前邊部分我們展示怎樣在Tomcat 上啟動SSL 。接下來，我們描述究竟需要做什么來完成在你的應用程序中安裝SSL-ext。最后，我們在代碼中應用SSL-ext。現在開始！

步驟1：在Tomcat 上啟動SSL

1??? 從http://java.sun.com/products/jsse/下載并安裝JSSE 1.0.2（或者更新的版本）。此網址告訴你安裝JSSE必須知道的所有動作。注意，Java 2 SDK Standard Edition v1.4已經預先捆綁了JSSE。如果你正在使用JDK v1.4，你可以跳個過這個步驟。

2??? 創建一個證書keystore（密鑰倉庫）。鍵入以下命令之一：

對Windows:

%JAVA_HOME%\bin\keytool -genkey -alias tomcat -keyalg RSA -keystore D:\server.keystore -validity 365

對UNIX: $JAVA_HOME/bin/keytool -genkey -alias tomcat -keyalg RSA

你會被問到許多問題。作為練習目的，僅僅鍵入對你來說有意義的無論什么都可以。當要實現到一個受控環境中時，找你的系統管理員。

3??? 從conf/server.xml 中取消SSL HTTP/1.1 Connector 的注釋。該被取消注釋的連接器應該看起來像這樣（特別地，記下端口號，隨后必須知道）：

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
?????????????? maxThreads="150" scheme="https" secure="true"
?????????????? clientAuth="false" sslProtocol="TLS"
?????????????? keystoreFile="D:/server.keystore"
?????????????? keystorePass="changeit" />
??? <!-- Define an AJP 1.3 Connector on port 8009 -->
??? <Connector port="8009" protocol="AJP/1.3" redirectPort="8443" />

4??? 重新啟動Tomcat。用瀏覽器訪問https://127.0.0.1:8443來確定所有動作如設計運行。如果Tomcat 顯示該頁面，那么就奏效了。

祝賀，你已經在Tomcat 上激活了SSL。

步驟2：為應用程序設置Struts SSL HTTP/HTTPS 切換擴展（SSL-ext）

因為ssl-ext 是一個Struts 擴展庫，它的安裝與Struts類似就不奇怪了。如果你已經安裝了Struts，以下用法說明會似曾相識。

1??? 從http://sslext.sourceforge.net 下載ssl-ext 包。該包包含一個可工作的樣例應用程序。把下載包Unzip 到Tomcat webapps 目錄。在以下步驟中，你要從樣例應用程序復制許多文件來創建你自己的ssl-ext 應用程序。

2??? 把sslext.jar 文件從樣例應用程序復制到WEB-INF/lib 目錄中。

3??? 把sslext.tld 文件從樣例應用程序復制到你的WEB-INF/lib 目錄中。

4??? 把以下片斷和其他taglib一起放在web.xml 文件中：

<taglib>

??? <taglib-uri>/WEB-INF/sslext.tld</taglib-uri>

??? <taglib-location>/WEB-INF/sslext.tld</taglib-location>

</taglib>

<web-app xmlns="http://java.sun.com/xml/ns/j2ee"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" version="2.4"
xsi:schemaLocation="http://java.sun.com/xml/ns/j2ee http://java.sun.com/xml/ns/j2ee/web-app_2_4.xsd">

<!-- 配置ssl的tld --> <jsp-config>
???? <taglib>
??? <taglib-uri>/WEB-INF/sslext.tld</taglib-uri>
??????? <taglib-location>/WEB-INF/sslext.tld</taglib-location>
</taglib>
</jsp-config>

5??? 把插件標簽添加到struts-config.xml 文件中。特別記下httpsPort 屬性。它必須與用來配置Tomcat 的相同（步驟1，說明3）。如你可能預期的，該httpPort 屬性應該和在conf/server.xml 中找到的Tomcat 配置相配。下列兩個定義的值是Tomcat 的值。

<plug-in className="org.apache.struts.action.SecurePlugIn">

??? <set-property property="httpPort" value="8080"/>

??? <set-property property="httpsPort" value="8443"/>

??? <set-property property="enable" value="true"/>

</plug-in>

做完這些，你隨時可以開始使用ssl-ext了。

步驟3：使用ssl-ext 建立一個應用程序

我們通過建立一個應用程序來示范ssl-ext 運轉。在這個步驟中，我們展示ssl-ext 是如何被用來為指向ssl 安全頁面的鏈接格式化URL 的。相反的，我們示范為指向普通的非SSL頁面的鏈接格式化URL。我們將知道給頁面提供安全保障是通過對struts-config.xml 做一個小的改變完成的。清單7.6 展示struts-config.xml 對應一個示例應用程序的動作映射。

清單7.6 Struts-config.xml

<?xml version="1.0" encoding="ISO-8859-1" ?>

<!DOCTYPE struts-config PUBLIC

?????????????????????? "-//Apache Software Foundation//DTD Struts Configuration 1.1//EN"

?????????????????????? "http://jakarta.apache.org/struts/dtds/struts-config_1_1.dtd">

<struts-config>

????? <global-forwards type="org.apache.struts.action.ActionForward">

?????????? <forward?? name="unsecured"??? path="/unsecured.do"/>

?????????? <forward?? name="secured" path="/secured.do"/>

?????????? <forward?? name="menu" path="/menu.do"/>

????? </global-forwards>

????? <form-beans>

?????????? <form-bean name="dummyForm" type="com.strutsrecipes.ssl.forms.Dummy" />

????? </form-beans>

????? <action-mappings type="org.apache.struts.config.SecureActionConfig">??? _?

?????????? <action??? path="/menu"

??????????????????????????? type="org.apache.struts.actions.ForwardAction"

??????????????????????????? parameter="/WEB-INF/pages/menu.jsp">

??????????????????????????? <set-property property="secure" value="false"/>

?????????? </action>

?????????? <action??? path="/unsecured"

??????????????????????????? type="org.apache.struts.actions.ForwardAction"

??????????????????????????? parameter="/WEB-INF/pages/unsecured.jsp">

??????????????????????????? <set-property property="secure" value="false"/>???? _?

?????????? </action>

?????????? <action??? path="/secured"

??????????????????????????? type="org.apache.struts.actions.ForwardAction"

??????????????????????????? parameter="/WEB-INF/pages/secured.jsp">

??????????????????????????? <set-property property="secure" value="true"/>????? _?

?????????? </action>

?????????? <action??? path="/securesubmit"

??????????????????????????? type="org.apache.struts.actions.ForwardAction"

??????????????????????????? name="dummyForm"

??????????????????????????? parameter="/WEB-INF/pages/securesubmit.jsp">

??????????????????????????? <set-property property="secure" value="true"/>????? _?

?????????? </action>

?????????? <action??? path="/unsecuresubmit"

???????????????????????????? type="org.apache.struts.actions.ForwardAction"

??????????????????????????? name="dummyForm"

??????????????????????????? parameter="/WEB-INF/pages/unsecuresubmit.jsp">

??????????????????????????? <set-property property="secure" value="false"/>???? _?

?????????? </action>

????? </action-mappings>

????? <plug-in className="org.apache.struts.action.SecurePlugIn">

?????????? <set-property property="httpPort" value="8080"/>

?????????? <set-property property="httpsPort" value="8443"/>

?????????? <set-property property="enable" value="true"/>

????? </plug-in>

</struts-config>

要用SSL 使一個Action 安全，把一個<set-property>標簽嵌套在Action 標簽內。 該property 屬性的值永遠是secure。該值屬性的true 值表明我們需要URL通過設置URI 方案“https”來發出一個SSL 請求。類似的，false 值表明該頁面是普通的不安全的頁面；該URI 方案應該是“http”。一個any 值默認表示采用當前頁的方案。雖然你可以使

用一個普通的Struts 鏈接標簽達到相同效果，但是該any 值讓你可以通過修改Struts-config 文件把它改成true 或者false 。

因為該安全屬性不被默認動作映射支持，我們需要在（?處）重載它。清單7.7示范ssl-ext 鏈接標簽如何被用來產生一個協議格式的URL 。

清單7.7 menu.jsp: JSP 使用 ssl-ext 鏈接標簽

<%@ page language="java" %>

<%@ taglib uri="/WEB-INF/struts-html.tld" prefix="html"%>

<%@ taglib uri="/WEB-INF/sslext.tld" prefix="sslext"%>???? ?

<html:html>

<h1>SSL: Menu</h1>

<h2>Links</h2>

<br><sslext:link forward="unsecured">unsecured</sslext:link> ?

<br><sslext:link forward="secured">secured</sslext:link> ?

<h2>submit to secured</h2>

<sslext:form action="/securesubmit" >?????? ?

<br><html:text property="name" value=""/>

<html:submit/>

</sslext:form>

<h2>submit to unsecured</h2>

<sslext:form action="/unsecuresubmit" >??

<br><html:text property="name" value=""/>

<html:submit/>

</sslext:form>

</html:html>

指向安全頁面的鏈接前綴https ，指向不安全的的頁面的鏈接被格式化成通常的http 。例如，在?處的鏈接顯示為“不安全的”http://127.0.0.1:8080/ssl/unsecured.do，而在?處的鏈接顯示為“安全的”https://127.0.0.1:8443/ssl/secured.do。

在清單7.7中最顯著的結果是我們從未指定頁面使用SSL，是否是安全的。該信息是定義在struts-configxml 文件中的。在清單7.7中?處的鏈接標簽映射到清單7.6的?處。相似的，?處映射到?處，?處映射到?處，處映射到?處。當寫URL 的協議段的時候，該ssl:ext 鏈接標簽查閱struts-config.xml 文件。要使用該ssl-ext taglib，你需要像我們在?處已經做的那樣聲明它。

提交工作以大體上相同的方式進行，只是你必須從ssl-ext 名字空間（?處）（處）使用表單標簽。

到這里，應用ssl-ext 的過程在上述步驟中得到完全解決。

◆ 討論

因為步驟1和步驟2是顯而易見的，我們無需回顧那些部分。步驟3更有意思得多，并且值得仔細考察。JSP 的工作很簡單，不考慮sslext 名字空間的話，它看起來幾乎無異于任何Struts JSP 。代替用Struts 鏈接標簽寫鏈接的是我們使用sslext 名字空間當中相同的標簽。在這些場景后面，這些標簽是使用動作映射來把URI 方案設置為http 或者https 的。要用https 寫URL，把動作映射上的secure 屬性設置為true。要把URL 寫成“http”，把它設置為false。提交的過程也是一樣，只是你使用sslext 名字空間的表單標簽而不是Struts 的html 名字空間。

還有一個標簽我們尚未討論過。pageScheme標簽使用secure屬性 來強制一個到http 或者https 的重定向。例如，一個到<sslext:pageScheme secure="false">的頁面的https 請求重定向該請求到http，而不管實際上該請求是用https發起的。

如果沒有ssl-ext，用以保證URL 使用正確前綴方案的工作將會更加困難。代替通過在JSP 中修整每個ssl 鏈接來處理這個問題的是，我們可以從struts-conf. xml 文件中來管理它。如此，維護性方面的報償是很客觀的。例如，如果我們有到相同Struts Action 的20個鏈接，那么為了改變鏈接以使用SSL，必須對20個JSP 做改變。同等的改變在ssl-ext 下只需要對struts-config.xml的僅僅一個改動！犯太多罪過的是人，避免錯誤的是神。

最優方法

審慎地使用SSL——SSL 是一個認證和使應用程序安全的已被證實的、可靠的、靈活的，并且流行的辦法，但是你應該僅當需要時才使用它。所有SSL 的傳送都加密并解密數據。取決于選擇的密碼，這些運算會影響應用程序的性能。

◆ 參考

n???????? [SSLDOC] SSL Overview

n???????? [SSLEXT] SSL Extension for Struts HTTP/HTTPS switching

n???????? [SSLSPEC] SSL Specification

n???????? [SSLTOM] SSL Tomcat Configuration

n???????? [URI] W3 URI Specification

文章來源:http://x-spirit.spaces.live.com/Blog/cns!CC0B04AE126337C0!791.entry

【轉自】http://caterpillar.onlyfun.net/Gossip/JSPServlet/JSPServlet.htm

雖 是所謂的編程式安全，不過還是搭配之前所談及的宣告安全環境設定來達成，您可以從HttpServletRequest的 getUserPrincipal()來取得代表登入使用者的Principal，或是使用getRemoteUser()方法來取得登入的使用者名稱。
一個搭配Role設定的方法是isUserInRole()，若您的使用者已經通過驗證，可以藉由這個方法於程式中判定登入的使用者其Role為何，並進 一步決定可使用的資源，像是可以決定使用者是否出現進階使用者選單、試用帳號是否過期之類，這是單純對URL作防護的設定所無法達到的，例如：

...
if(request.isUserInRole("manager")) {
??? // 顯示管理者選單
}
else {
??? // 顯示一般使用者選單
}
...

若您事先無法決定Role名稱，則可以透過設置<security-role-ref>，將程式中的Role名稱，連結至 <security-role>的Role名稱，例如：

...
??? <servlet>
??????? <servlet-name>HelloServlet</servlet-name>
??????? <servlet-class>onlyfun.caterpillar.HelloServlet</servlet-class>
??????? <security-role-ref>
??????????? <role-name>manager</role-name>
??????????? <role-link>admin</role-link>
??????? </security-role-ref>
??? </servlet>

??? <servlet-mapping>
??????? <servlet-name>HelloServlet</servlet-name>
??????? <url-pattern>/HelloServlet</url-pattern>
??? </servlet-mapping>

?? <security-role>
??????? <role-name>admin</role-name>
??????? <role-name>normal</role-name>
??? </security-role>
...

如此一來，您的程式中的manager，實際上就會對應至admin的Role名稱，如此，就不用擔心在程式中寫死Role名稱。

文章來源:http://x-spirit.spaces.live.com/Blog/cns!CC0B04AE126337C0!789.entry

【轉自】http://caterpillar.onlyfun.net/Gossip/JSPServlet/JSPServlet.htm

Http Basic Authentication 會讓瀏覽器出現對話方塊，以供使用者輸入名稱與密碼，無法自行設計登入畫面，若要結束目前會話階段，則要關閉瀏覽器。
您可以在web.xml中設定基於表單的驗證方式，以 使用宣告式安全（Http Basic Authentication） 中的例子來說，可以修改為：

• web.xml

<?xml version="1.0" encoding="UTF-8"?>
<web-app version="2.5" xmlns="http://java.sun.com/xml/ns/javaee" 
  xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
  xsi:schemaLocation="http://java.sun.com/xml/ns/javaee 
  http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd">
      
   <security-role>
        <role-name>foo</role-name>
    </security-role>
    
    <security-constraint>
        <display-name>SecurityConstraint</display-name>
        <web-resource-collection>
            <web-resource-name>Secret Information</web-resource-name>
            <url-pattern>/secure/info.jsp</url-pattern>
        </web-resource-collection>
        <auth-constraint>
            <role-name>foo</role-name>
        </auth-constraint>
    </security-constraint>
    
    <login-config>
        <auth-method>FORM</auth-method>
        <form-login-config>
            <form-login-page>/pages/login.jsp</form-login-page>
            <form-error-page>/pages/error.jsp</form-error-page>
        </form-login-config>
    </login-config>
</web-app>

在<login-config>中，修改驗證方式為FORM，並設定了登入表單的頁面所在，您可以設計一個login.jsp：

• login.jsp

<%@page contentType="text/html" pageEncoding="UTF-8"%>
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"
   "http://www.w3.org/TR/html4/loose.dtd">

<html>
    <head>
        <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
        <title>請登入</title>
    </head>
    <body>
        <h2>請登入</h2><br>
    <form action="j_security_check" method="POST">
        Username: <input type="text" name="j_username" value="" /> <br />
        Password: <input type="password" name="j_password" value="" /> <br />
        <input type="submit" value="login" />
    </form>            
    </body>
</html>

當使用者請求受保護的URL時，會轉至login.jsp，發送表單的動作網址為j_security_check，而使用者 名稱與密碼，則必須使用j_username與j_password請求參數發送，若驗證正確，則會將流程轉至原先請求的位址，若失敗，則流程會轉至所設 定的錯誤網頁。
如果要令此次登入失效，則設計一個令HttpSession執行invaldate()方法的請求即可。
如果您的Web伺服器作好支援SSL的設定，則您可以在web.xml中設定使用SSL，以上例來說，您可以在web.xml中增加設定：

• web.xml

<?xml version="1.0" encoding="UTF-8"?>
<web-app version="2.5" xmlns="http://java.sun.com/xml/ns/javaee" 
  xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
  xsi:schemaLocation="http://java.sun.com/xml/ns/javaee 
  http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd">
      
   <security-role>
        <role-name>foo</role-name>
    </security-role>
    
    <security-constraint>
        <display-name>SecurityConstraint</display-name>
        <web-resource-collection>
            <web-resource-name>Secret Information</web-resource-name>
            <url-pattern>/secure/info.jsp</url-pattern>
        </web-resource-collection>
        <auth-constraint>
            <role-name>foo</role-name>
        </auth-constraint>
        <user-data-constraint>
            <transport-guarantee>CONFIDENTIAL</transport-guarantee>
        </user-data-constraint>
    </security-constraint>
    
    <login-config>
        <auth-method>FORM</auth-method>
        <form-login-config>
            <form-login-page>/pages/login.jsp</form-login-page>
            <form-error-page>/pages/error.jsp</form-error-page>
        </form-login-config>
    </login-config>
</web-app>

如此，當流程轉發至表單網頁，直至使用者名稱、密碼送出，都會以SSL的方式進行加密傳送。
文章來源:http://x-spirit.spaces.live.com/Blog/cns!CC0B04AE126337C0!788.entry

【轉自】http://caterpillar.onlyfun.net/Gossip/JSPServlet/JSPServlet.htm

要 防護應用程式的資源，驗證（Authentication）與授權（Authorization）是基本需求。
驗證基本上就是識別登入系統的使用者，是否為系統所允許的身份，是否如其所宣告的身份。授權則是對資源加以管理保護，針對請求資源的使用者，檢查其是否具 備足夠的權限。
在Java EE中，容器提供驗證、授權服務，透過適當的組態設定或API，您可以讓容器為您管理大部份的驗證與授權，要運用Java EE所提供的驗證、授權服務，基本上您必須了解幾個概念名詞：

• Realm

中文稱之為「域」 或「範圍」，在Java EE的規範之中，Realm指的是身份驗證資料的來源，Realm可能是記憶體、檔案、憑證、資料庫、網路（如LDAP）等。
例如若為Web容器部份，Tomcat預設是將身份驗證資料儲存於tomcat-users.xml檔案之中，在啟動Tomcat之後，將該檔案載入記憶 體作為Memory Realm，您也可以將之改為JDBC Realm。Glassfish（原 Sun Java System Application Server）的Realm可以是 File Realm（一般使用者）、Admin Realm（管理者）、 Certificate realm等，您可以在Glassfish管理介面中加以設定。

• Role

在系統上會有 User，而在多人共用的系統會有不同的權限，為了方便管理使用者的權限，通常會定義Group，將User歸類於某些Group，您可以直接將權限設定 給Group，而Group下的User就擁有該權限。
然而在設計應用程式時，並無法事先得知系統上會有哪些Group，所以您無法直接在應用程式中使用Group名稱 來設定資源的權限，因此在Java EE的規範中，是定義資源可以被哪些Role存取，至於如何將系 統上的Group對應至應用程式的Role不在Java EE的規範之中，而是依伺服器廠商的實作而有所不同。

• Principal

在設計應用程式 時，因無法事先得知將被部署至的系統上，會有哪些User，因此在Java EE中，登入系統的使用者是定義為Principal，您是依據Proincipal於應用程式中作識別驗證，如何將系統上的User對應至應用程式的 Principal不在Java EE的規範之中，而是依伺服器廠商的實作而有所不同。

例如，Tomcat可以在tomcat-users.xml中設定Role與User的對應，而Glassfish，則可以在sun-web.xml、 sun-ejb-jar.xml、sun-application.xmll等檔案中設定Role與Group的對應。

文章來源:http://x-spirit.spaces.live.com/Blog/cns!CC0B04AE126337C0!787.entry

【轉自】http://caterpillar.onlyfun.net/Gossip/JSPServlet/JSPServlet.htm

Web容器所提供的宣告安全管理，主要是針對URL來作防護，將您所想要經過驗證、授權才可以存取的Web目錄、網頁或檔案等，在web.xml中作設定，當有使用者想要存取時，就必須輸入名稱與密碼進行驗證，並且必須被授于正確的權限才可存取。
例如若Web應用程式的/serure/info.jsp僅能是foo的Role方可存取，則您可以在web.xml中設定如下：

• web.xml

<?xml version="1.0" encoding="UTF-8"?>
<web-app version="2.5" xmlns="http://java.sun.com/xml/ns/javaee" 
  xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
  xsi:schemaLocation="http://java.sun.com/xml/ns/javaee 
  http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd">
      
   <security-role>
        <role-name>foo</role-name>
    </security-role>
    
    <security-constraint>
        <display-name>SecurityConstraint</display-name>
        <web-resource-collection>
            <web-resource-name>Secret Information</web-resource-name>
            <url-pattern>/secure/info.jsp</url-pattern>
        </web-resource-collection>
        <auth-constraint>
            <role-name>foo</role-name>
        </auth-constraint>
    </security-constraint>
    
    <login-config>
        <auth-method>BASIC</auth-method>
        <realm-name>file</realm-name>
    </login-config>
</web-app>

<security-role>讓您設定這個Web應用程式中將參與的角色，若有多個角色，則可以用多個<security>加以設定。
在需要防護的URL部份，是在<url-patern>中指定，指定的方式從Web應用程式根目錄開始，若您想防護整個Web應用程式，則可以使用/*來指定，若有多個URL需要防護，則可以使用多個<url-pattern>。
<auth-constraint>中指定哪個Role可以存取指定URL的Role，若有多個Role則使用多個<role-name>來指定。
在<login-config>中，<auth-method>用來指定驗證使用者的方式，指定BASIC的話將授用Http Basic Authentication，也就是丟出「WWW-Authenticate: Basic realm=""」這樣的回應標頭給瀏覽器，瀏覽器將顯示一個輸入對話方塊，要求使用者輸入名稱與密碼，若有輸入名稱與密碼，則瀏覽器會將之以 BASE64方式編碼，以「Authorization: Basic 編碼內容」的請求標頭傳給伺服器。
輸入名稱與密碼在伺服端可能通過驗證，下一步是檢查登入的使用者其對應的Role是否有足夠的權限存取資源，若否則會顯示403 Forbidden。
使用者與Role的對應，在Tomcat上，可以編輯tomcat-users.xml來設定，例如：

...
<tomcat-users>
? <role rolename="foo"/>
? <user username="caterpillar" password="123456" roles="foo"/>
? ...
</tomcat-users>

若是在Glassfish上，可以在Glassfish的管理介面上新增新的使用者並設定其群組，假設分別為caterpillar與orzGroup，則您可以在WEB-INF下編輯sun-web.xml，設定Role與Group的對應：

...
? <security-role-mapping>
??? <role-name>foo</role-name>
??? <group-name>orzGrooup</group-name>
? </security-role-mapping>
...

在設定<web-resource-collection>時，預設是所有的HTTP請求都需要經過驗證與授權，您可以使用<http-method>來設定哪些HTTP請求才需要經過驗證與授權，例如設定GET與POST需要經過驗證與授權：

...
?? <web-resource-collection>
?????? <web-resource-name>Secret Information</web-resource-name>
?????? <url-pattern>/secure/info.jsp</url-pattern>
?????? <http-method>GET</http-method>
?????? <http-method>POST</http-method>
?? </web-resource-collection>
...

要注意的是，一但設定<http-method>，表示有指定的HTTP請求才需要驗證與授權，但沒有被指定的則不需要，也就是說，若以上面的指定而言，GET、POST是需要驗證與授權的，但HEAD、TRACE等方法則不需要。

文章來源:http://x-spirit.spaces.live.com/Blog/cns!CC0B04AE126337C0!785.entry

StrutsFileUpload
文件上傳的簡單范例
HTML
HTML頁面需要做兩件事情，首先，表單需要指定enctype="multipart/form-dataand"，其次需要一個類型為file的<input>表單控件。
?? <form name="myForm" method="post"
???????? action="/mywebapp/uploadMyFile.do"
???????? enctype="multipart/form-data">
???????? Select File: <input type="file" name="myFile">????????? </br>
???????? <input type="submit" value="Upload File">
?? </form>
JSP
上面的HTML標簽用Struts標簽代替就是以下代碼：
?? <html:form action="/uploadMyFile.do"?????????????? enctype="multipart/form-data">
???????? Select File: <html:file property="myFile"> </br>
???????? <html:submit value="Upload File"/>
?? </html:form>
ActionForm
這個ActionForm需要一個FormFile類型的字段。
一般的ActionForm
??? import org.apache.struts.upload.FormFile;
??? public class MyActionForm extends ActionForm {
?????? private FormFile myFile;
?????? public void setMyFile(FormFile myFile) {
?????????? this.myFile = myfile;
?????? }
?????? public FormFile getMyFile() {
?????????? return myFile;
?????? }
??? }
動態ActionForms
在struts-config.xml文件中寫上：
?? <form-bean name="myForm"???? type="org.apache.struts.action.DynaActionForm">
?????? <form-property name="myFile"???????? type="org.apache.struts.upload.FormFile"/>
?? </form-bean>
在Action中需要怎么寫呢？
其實沒什么特殊的，就象和得到其他屬性一樣，從ActionForm中得到FormFile屬性，得到后可以隨意進行處理。比如我們可以從FileForm中得到文件名，文件大小，文件內容
??? public ActionForward execute(ActionMapping mapping,
???????????????????????????????? ActionForm form,
???????????????????????????????? HttpServletRequest request,
???????????????????????????????? HttpServletResponse response)
???????????????????????????????? throws Exception {
??????? MyActionForm myForm = (MyActionForm)form;
??????? // Process the FormFile
??????? FormFile myFile = myForm.getMyFile();
??????? String contentType = myFile.getContentType();
??????? String fileName??? = myFile.getFileName();
??????? int fileSize?????? = myFile.getFileSize();
??????? byte[] fileData??? = myFile.getFileData();
??????? ...
??? }
文件上傳的配置
在struts-config.xml的<controller>element中可以設置如下參數來配置文件上傳：
bufferSize - 處理文件上傳的緩沖區大小，單位是字節。
默認是4096byte。
maxFileSize - 允許上傳文件的大小。可以使用K，M，G為單位。
默認是250M。
multipartClass - muiltpart請求處理器類的全局標識名。默認是org.apache.struts.upload.CommonsMultipartRequestHandler
tempDir - 處理文件上傳的臨時目錄。
還有一種可選的文件上傳插件的方式可提供使用，那就是實現
org.apache.struts.upload.MultipartRequestHandler接口。
可以在struts-config.xml的<controller>的multipartClass
來指定這個實現給接口的類。
====================================
StrutsFileDownload
Struts 1.2.6中推出了新的DownloadAction，用來簡化下載操作。
實現DownloadAction
我們需要擴展org.apache.struts.actions.DownloadAction并實現
getStreamInfo()方法。如果我們要更改默認的緩沖大小，我們也可以覆蓋
getBufferSize()方法。?
實現getStreamInfo() 方法
getStreamInfo() 方法返回一個StreamInfo對象- 它是DownloadAction類的內
部類，其實是個內部接口。DownloadAction為這個接口提供了兩個具體的靜態內
部實現類：
FileStreamInfo - 簡化從磁盤系統下載文件。需要連同content type傳入一個java.io.File對象到構造方法中。
ResourceStreamInfo - 簡化從web應用資源下載文件。需要傳入ServletContext，路徑以及content type 到它的構造方法中。
在下面的例子中，我們還提供了一個以Byte array方法實現StreamInfo接口的代
碼。
實現getBufferSize() 方法
DownloadAction默認返回4096byte的緩沖區我們可以覆蓋這個方法來自定義用
來傳輸文件的緩沖區大小
范例
下面有三個例子：
使用文件
使用web應用資源
使用byte array
FileStreamInfo范例
DownloadAction使用文件的例子。這個范例從struts-config.xml的action
mapping的parameter屬性來得到文件名。
import java.io.File;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import org.apache.struts.action.ActionForm;
import org.apache.struts.action.ActionMapping;
import org.apache.struts.actions.DownloadAction;
public class ExampleFileDownload extends DownloadAction{
??? protected StreamInfo getStreamInfo(ActionMapping mapping,
?????????????????????????????????????? ActionForm form,
?????????????????????????????????????? HttpServletRequest request,
?????????????????????????????????????? HttpServletResponse response)
??????????? throws Exception {
??????? // Download a "pdf" file - gets the file name from the
??????? // Action Mapping's parameter
??????? String contentType = "application/pdf";
??????? File file????????? = new File(mapping.getParameter());
??????? return new FileStreamInfo(contentType, file);
??? }
}
ResourceStreamInfo范例
DownloadAction使用web應用資源的范例。這個范例從struts-config.xml的
action mapping的parameter屬性來得到web應用資源的路徑。
import javax.servlet.ServletContext;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import org.apache.struts.action.ActionForm;
import org.apache.struts.action.ActionMapping;
import org.apache.struts.actions.DownloadAction;
public class ExampleResourceDownload extends DownloadAction {
??? protected StreamInfo getStreamInfo(ActionMapping mapping,
?????????????????????????????????????? ActionForm form,
?????????????????????????????????????? HttpServletRequest request,
?????????????????????????????????????? HttpServletResponse response)
??????????? throws Exception {
??????? // Download a "jpeg" file - gets the file name from the
??????? // Action Mapping's parameter
??????? String contentType???????? = "image/jpeg";
??????? String path??????????????? = mapping.getParameter();
??????? ServletContext application = servlet.getServletContext();
??????? return new ResourceStreamInfo(contentType, application, path);
??? }
}
Byte Array 范例
DownloadAction使用字節數組（byte array）的范例。
這個例子創建了一個實現了StreamInfo接口的ByteArrayStreamInfo內部類。
import java.io.IOException;
import java.io.InputStream;
import java.io.ByteArrayInputStream;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import org.apache.struts.action.ActionForm;
import org.apache.struts.action.ActionMapping;
import org.apache.struts.actions.DownloadAction;
public class ExampleByteArrayDownload extends DownloadAction {
??? protected StreamInfo getStreamInfo(ActionMapping mapping,
?????????????????????????????????????? ActionForm form,
?????????????????????????????????????? HttpServletRequest request,
?????????????????????????????????????? HttpServletResponse response)
??????????? throws Exception {
??????? // Download a "pdf" file
??????? String contentType = "application/pdf";
??????? byte[] myPdfBytes? = null;// Get the bytes from somewhere
??????? return new ByteArrayStreamInfo(contentType, myPdfBytes);
??? }
??? protected class ByteArrayStreamInfo implements StreamInfo {
??????? protected String contentType;
??????? protected byte[] bytes;
??????? public ByteArrayStreamInfo(String contentType, byte[] bytes) {
??????????? this.contentType = contentType;
??????????? this.bytes = bytes;
??????? }
??????? public String getContentType() {
??????????? return contentType;
??????? }
??????? public InputStream getInputStream() throws IOException {
??????????? return new ByteArrayInputStream(bytes);
??????? }
??? }
}
在WEB頁面上使用DownloadAction
最大的疑惑是我么如何使用這個Action?
需要做兩件事情：
和任何Struts的action一樣，需要在struts-config.xml中進行配置。
在WEB頁面中使用它對文件進行連接
下面是struts-config.xml配置的一個例子：
??? <action path="/downloadMyPdfFile" type="myPackage.ExampleFileDownload"
????? parameter="/foo/bar.pdf">
??? <action path="/downloadMyImage"?? type="myPackage.ExampleResourceDownload"
????? parameter="/images/myImage.jpeg">
那么在我們的JSP頁面，可以使用類似下面的例子：
??? <html:img action="downloadMyImage" alt="My Image" height="400" width="400"/>
??? <html:link action="downloadMyPdfFile">Click Here to See the PDF</html:link>
注意：我們可能要將struts配置文件中<controller>屬性的nocache值設置為false。如果設置為true，可能在IE上不能成功下載文件，但是在Firefox和Safari上工作正常。
??? <controller contentType="text/html;charset=UTF-8" locale="true" nocache="false" />
內容部署（Content Disposition）
設置Content Disposition
DownloadAction不能處理content dispositon頭部。最簡單的方法是在getStreamInfo()方法中設置，比如：
public class ExampleFileDownload extends DownloadAction{
??? protected StreamInfo getStreamInfo(ActionMapping mapping,
?????????????????????????????????????? ActionForm form,
?????????????????????????????????????? HttpServletRequest request,
?????????????????????????????????????? HttpServletResponse response)
??????????? throws Exception {
??????? // File Name
??????? String fileName = mapping.getParameter();
??????? // Set the content disposition
??????? response.setHeader("Content-disposition",
?????????????????????????? "attachment; filename=" + new String(fileName.getBytes("gbk"), "iso8859_1"));// 設置文件名
??????? // Download a "pdf" file - gets the file name from the
??????? // Action Mapping's parameter
??????? String contentType = "application/pdf";
??????? File file????????? = new File(fileName);
??????? return new FileStreamInfo(contentType, file);
??? }
}
如果需要文件名做為參數，可能需要首先把文件前面的任何路徑信息先清除。
@@ Content Disposition的值
我們可以設置content disposition來下載一個文件或者在瀏覽器中打開一個文件。
在瀏覽器中打開文件的例子寫法: "inline; filename=myFile.pdf"
下載的例子寫法: "attachment; filename=myFile.pdf"
顯示圖片的話，可以使用content disposition的"inline"選項。
文章來源:http://x-spirit.spaces.live.com/Blog/cns!CC0B04AE126337C0!784.entry

天才女程序員離開Google了。新聞上如是說。媒體很關注她的博客內容，她一邊稱贊在Google的工作，一邊轉身而去“嘗試新鮮事物”。我想到三個詞：光榮、風度和瀟灑。

看看我們這些人，正如范師傅的名言：同樣都是在電腦上寫程序滴，差別咋就這么大哩！

你有過樣的光榮么？有人稱你為天才么？哈，我猜你會說有！小學時常常前三名，中學也得過不少獎狀吧！好漢不提當年勇，別提算啦。現在天天絞盡腦汁地在鍵盤上敲敲打打的，能獲得多少認可呢？老板的觀點是肯定而且明確的：不管你怎么做，只要實現需求，只看結果，不看過程。說實話，對于大部分需求來說，再笨的人也能找到個辦法實現。你真的是天才又怎么樣？其實和傻B沒什么區別！你要是離職了，沒人理你，趁著金融危機正好換個薪水低的。你在博客里寫八百遍也白搭，因為本來就沒幾個人看！

沒有光榮的程序員，也談不上什么風度。別人問你在以前的公司做的怎么樣呀？傻一點的就把自己的想法老實說了，什么這公司這也不好，那也不好。這是實話呀，要是感覺好的話你怎么會辭職呢？可你說實話人家就覺得你這人不好！你只好說以前的公司挺好的，然后面試人員很懷疑地看著你，問你離職的理由。這叫啥風度？

更別說什么瀟灑了！也許你真的曾有過追求與理想，也許你真的炒過自己的老板，現在你還這樣么？我有個非常好的朋友常對我引用某個作家話：我們總是在不知不覺中變得世俗。理想值得追求，但她太遙遠。生活是實在的。沒有工作就沒有錢，沒有錢就沒法過日子。天天吃飯都得要錢，用不完的還要存下來，等著交給那些貪婪無度的房地產開發商。瀟灑？瀟什么灑！老老實實寫你的程序去吧！

偶不系天才，偶也不系女滴，偶寫程序沒有光榮，偶跳槽沒有風度，偶的生活一點也不瀟灑。真是太讓人失望了！

這雖然是事實，但偶不想這樣想！

偶長大后雖然就不天才了，但偶絕對會寫程序；偶不是女滴，正好有體力加班干活；偶寫程序無人欣賞，但偶掙錢養家孝敬父母撫養兒女，也很光榮；偶跳槽雖然只為多點工資，但也算好合好散好來好去，雖沒風度但也不失體面；你說我天天加班努力表現不瀟灑，哼，雖然我不叫阿Q，可我偏說我瀟灑，我瀟灑，我就瀟灑！

我們變不成天才女程序員了，但我們一定要快樂地活著！
文章來源:http://x-spirit.spaces.live.com/Blog/cns!CC0B04AE126337C0!781.entry

LDAP的英文全稱是Lightweight Directory Access Protocol，一般都簡稱為LDAP。它是基于X.500標準的，但是簡單多了并且可以根據需要定制。與X.500不同，LDAP支持TCP/IP，這對訪問Internet是必須的。LDAP的核心規范在RFC中都有定義，所有與LDAP相關的RFC都可以在LDAPman RFC網頁中找到。現在LDAP技術不僅發展得很快而且也是激動人心的。在企業范圍內實現LDAP可以讓運行在幾乎所有計算機平臺上的所有的應用程序從LDAP目錄中獲取信息。LDAP目錄中可以存儲各種類型的數據：電子郵件地址、郵件路由信息、人力資源數據、公用密匙、聯系人列表，等等。通過把LDAP目錄作為系統集成中的一個重要環節，可以簡化員工在企業內部查詢信息的步驟，甚至連主要的數據源都可以放在任何地方。
LDAP目錄的優勢
??? 如果需要開發一種提供公共信息查詢的系統一般的設計方法可能是采用基于WEB的數據庫設計方式，即前端使用瀏覽器而后端使用WEB服務器加上關系數據庫。后端在Windows的典型實現可能是Windows NT + IIS + Acess數據庫或者是SQL服務器，IIS和數據庫之間通過ASP技術使用ODBC進行連接，達到通過填寫表單查詢數據的功能；
??? 后端在Linux系統的典型實現可能是Linux+ Apache + postgresql，Apache和數據庫之間通過PHP3提供的函數進行連接。使用上述方法的缺點是后端關系數據庫的引入導致系統整體的性能降低和系統的管理比較繁瑣，因為需要不斷的進行數據類型的驗證和事務的完整性的確認；并且前端用戶對數據的控制不夠靈活，用戶權限的設置一般只能是設置在表一級而不是設置在記錄一級。
??? 目錄服務的推出主要是解決上述數據庫中存在的問題。目錄與關系數據庫相似，是指具有描述性的基于屬性的記錄集合，但它的數據類型主要是字符型，為了檢索的需要添加了BIN（二進制數據）、CIS（忽略大小寫）、CES（大小寫敏感）、TEL（電話型）等語法（Syntax），而不是關系數據庫提供的整數、浮點數、日期、貨幣等類型，同樣也不提供象關系數據庫中普遍包含的大量的函數，它主要面向數據的查詢服務（查詢和修改操作比一般是大于10:1），不提供事務的回滾（rollback）機制，它的數據修改使用簡單的鎖定機制實現All-or-Nothing，它的目標是快速響應和大容量查詢并且提供多目錄服務器的信息復制功能。
??? 現在該說說LDAP目錄到底有些什么優勢了。現在LDAP的流行是很多因數共同作用的結果。可能LDAP最大的優勢是：可以在任何計算機平臺上，用很容易獲得的而且數目不斷增加的LDAP的客戶端程序訪問LDAP目錄。而且也很容易定制應用程序為它加上LDAP的支持。
??? LDAP協議是跨平臺的和標準的協議，因此應用程序就不用為LDAP目錄放在什么樣的服務器上操心了。實際上，LDAP得到了業界的廣泛認可，因為它是Internet的標準。產商都很愿意在產品中加入對LDAP的支持，因為他們根本不用考慮另一端（客戶端或服務端）是怎么樣的。LDAP服務器可以是任何一個開發源代碼或商用的LDAP目錄服務器（或者還可能是具有LDAP界面的關系型數據庫），因為可以用同樣的協議、客戶端連接軟件包和查詢命令與LDAP服務器進行交互。與LDAP不同的是，如果軟件產商想在軟件產品中集成對DBMS的支持，那么通常都要對每一個數據庫服務器單獨定制。不象很多商用的關系型數據庫，你不必為LDAP的每一個客戶端連接或許可協議付費 大多數的LDAP服務器安裝起來很簡單，也容易維護和優化。
??? LDAP服務器可以用“推”或“拉”的方法復制部分或全部數據，例如：可以把數據“推”到遠程的辦公室，以增加數據的安全性。復制技術是內置在LDAP服務器中的而且很容易配置。如果要在DBMS中使用相同的復制功能，數據庫產商就會要你支付額外的費用，而且也很難管理。
??? LDAP允許你根據需要使用ACI（一般都稱為ACL或者訪問控制列表）控制對數據讀和寫的權限。例如，設備管理員可以有權改變員工的工作地點和辦公室號碼，但是不允許改變記錄中其它的域。ACI可以根據誰訪問數據、訪問什么數據、數據存在什么地方以及其它對數據進行訪問控制。因為這些都是由LDAP目錄服務器完成的，所以不用擔心在客戶端的應用程序上是否要進行安全檢查。
??? LDAP（Lightweight Directory Acess Protocol）是目錄服務在TCP/IP上的實現（RFC 1777 V2版和RFC 2251 V3版）。它是對X500的目錄協議的移植，但是簡化了實現方法，所以稱為輕量級的目錄服務。在LDAP中目錄是按照樹型結構組織，目錄由條目（Entry）組成，條目相當于關系數據庫中表的記錄；條目是具有區別名DN（Distinguished Name）的屬性（Attribute）集合，DN相當于關系數據庫表中的關鍵字（Primary Key）；屬性由類型（Type）和多個值（Values）組成，相當于關系數據庫中的域（Field）由域名和數據類型組成，
只是為了方便檢索的需要，LDAP中的Type可以有多個Value，而不是關系數據庫中為降低數據的冗余性要求實現的各個域必須是不相關的。LDAP中條目的組織一般按照地理位置和組織關系進行組織，非常的直觀。LDAP把數據存放在文件中，為提高效率可以使用基于索引的文件數據庫，而不是關系數據庫。LDAP協議集還規定了DN的命名方法、存取控制方法、搜索格式、復制方法、URL格式、開發接口等
??? LDAP對于這樣存儲這樣的信息最為有用，也就是數據需要從不同的地點讀取，但是不需要經常更新。
??? 例如，這些信息存儲在LDAP目錄中是十分有效的：
l 公司員工的電話號碼簿和組織結構圖
??? l 客戶的聯系信息
??? l 計算機管理需要的信息，包括NIS映射、email假名，等等
??? l 軟件包的配置信息
??? l 公用證書和安全密匙
? 什么時候該用LDAP存儲數據
??? 大多數的LDAP服務器都為讀密集型的操作進行專門的優化。因此，當從LDAP服務器中讀取數據的時候會比從專門為OLTP優化的關系型數據庫中讀取數據快一個數量級。也是因為專門為讀的性能進行優化，大多數的LDAP目錄服務器并不適合存儲需要需要經常改變的數據。例如，用LDAP服務器來存儲電話號碼是一個很好的選擇，但是它不能作為電子商務站點的數據庫服務器。
??? 如果下面每一個問題的答案都是“是”，那么把數據存在LDAP中就是一個好主意。
l 需要在任何平臺上都能讀取數據嗎？
??? l 每一個單獨的記錄項是不是每一天都只有很少的改變？
??? l 可以把數據存在平面數據庫（flat database）而不是關系型數據庫中嗎？換句話來說，也就是不管什么范式不式的，把所有東西都存在一個記錄中（差不多只要滿足第一范式）。
??? 最后一個問題可能會唬住一些人，其實用平面數據庫去存儲一些關系型的數據也是很一般的。例如，一條公司員工的記錄就可以包含經理的登錄名。用LDAP來存儲這類信息是很方便的。一個簡單的判斷方法：如果可以把保數據存在一張張的卡片里，就可以很容易地把它存在LDAP目錄里。
安全和訪問控制
??? LDAP提供很復雜的不同層次的訪問控制或者ACI。因這些訪問可以在服務器端控制，這比用客戶端的軟件保證數據的安全可安全多了。
用LDAP的ACI，可以完成：
??? l 給予用戶改變他們自己的電話號碼和家庭地址的權限，但是限制他們對其它數據（如，職務名稱，經理的登錄名，
等等）只有“只讀”權限。
??? l 給予“HR-admins"組中的所有人權限以改變下面這些用戶的信息：經理、工作名稱、員工號、部門名稱和部門號。
但是對其它域沒有寫權限。
??? l 禁止任何人查詢LDAP服務器上的用戶口令，但是可以允許用戶改變他或她自己的口令。
??? l 給予經理訪問他們上級的家庭電話的只讀權限，但是禁止其他人有這個權限。
??? l 給予“host-admins"組中的任何人創建、刪除和編輯所有保存在LDAP服務器中的與計算機主機有關的信息
??? l 通過Web，允許“foobar-sales"組中的成員有選擇地給予或禁止他們自己讀取一部分客戶聯系數據的讀權限。這將允許他們把客戶聯系信息下載到本地的筆記本電腦或個人數字助理（PDA）上。（如果銷售人員的軟件都支持LDAP，這將非常有用）
??? l 通過Web，允許組的所有者刪除或添加他們擁有的組的成員。例如：可以允許銷售經理給予或禁止銷售人員改變Web頁的權限。也可以允許郵件假名（mail aliase）的所有者不經過IT技術人員就直接從郵件假名中刪除或添加用戶。“公用”的郵件列表應該允許用戶從郵件假名中添加或刪除自己（但是只能是自己）。也可以對IP地址或主機名加以限制。例如，某些域只允許用戶IP地址以192.168.200.*開頭的有讀的權限，或者用戶反向查找DNS得到的主機名必須為*.foobar.com。
LDAP目錄樹的結構

??? LDAP目錄以樹狀的層次結構來存儲數據。如果你對自頂向下的DNS樹或UNIX文件的目錄樹比較熟悉，也就很容易掌握LDAP目錄樹這個概念了。就象DNS的主機名那樣，LDAP目錄記錄的標識名（Distinguished Name，簡稱DN）是用來讀取單個記錄，以及回溯到樹的頂部。后面會做詳細地介紹。
?? 為什么要用層次結構來組織數據呢？原因是多方面的。下面是可能遇到的一些情況：
??? l 如果你想把所有的美國客戶的聯系信息都“推”到位于到西雅圖辦公室（負責營銷）的LDAP服務器上，但是你不想把公司的資產管理信息“推”到那里。
??? l 你可能想根據目錄樹的結構給予不同的員工組不同的權限。在下面的例子里，資產管理組對“asset-mgmt"部分有完全的訪問權限，但是不能訪問其它地方。
??? l 把LDAP存儲和復制功能結合起來，可以定制目錄樹的結構以降低對WAN帶寬的要求。位于西雅圖的營銷辦公室需要每分鐘更新的美國銷售狀況的信息，但是歐洲的銷售情況就只要每小時更新一次就行了。
刨根問底：基準DN
??? LDAP目錄樹的最頂部就是根，也就是所謂的“基準DN"。基準DN通常使用下面列出的三種格式之一。假定我在名為FooBar的電子商務公司工作，這家公司在Internet上的名字是foobar.com。 o="FooBar, Inc.", c=US （以X.500格式表示的基準DN） 在這個例子中o=FooBar, Inc. 表示組織名，在這里就是公司名的同義詞。c=US 表示公司的總部在美國。以前，一般都用這種方式來表示基準DN。但是事物總是在不斷變化的，現在所有的公司都已經（或計劃）上Internet上。隨著
Internet的全球化，在基準DN中使用國家代碼很容易讓人產生混淆。現在，X.500格式發展成下面列出的兩種格式。
??? o=foobar.com
（用公司的Internet地址表示的基準DN）
這種格式很直觀，用公司的域名作為基準DN。這也是現在最常用的格式。
??? dc=foobar, dc=com
（用DNS域名的不同部分組成的基準DN）
??? 就象上面那一種格式，這種格式也是以DNS域名為基礎的，但是上面那種格式不改變域名（也就更易讀），而這種格式把域名：foobar.com分成兩部分 dc=foobar, dc=com。在理論上，這種格式可能會更靈活一點，但是對于最終用戶來說也更難記憶一點。考慮一下foobar.com這個例子。當foobar.com和gizmo.com合并之后，可以簡單的把“dc=com"當作基準DN。把新的記錄放到已經存在的dc=gizmo, dc=com目錄下，這樣就簡化了很多工作（當然，如果foobar.com和wocket.edu合并，這個方法就不能用了）。如果LDAP服務器是新安裝的，我建議你使用這種格式。再請注意一下，如果你打算使用活動目錄（Actrive Directory），Microsoft已經限制你必須使用這種格式。
更上一層樓：在目錄樹中怎么組織數據
??? 在UNIX文件系統中，最頂層是根目錄（root）。在根目錄的下面有很多的文件和目錄。象上面介紹的那樣，LDAP目錄也是用同樣的方法組織起來的。
??? 在根目錄下，要把數據從邏輯上區分開。因為歷史上（X.500）的原因，大多數LDAP目錄用OU從邏輯上把數據分開來。OU
表示“Organization Unit"，在X.500協議中是用來表示公司內部的機構：銷售部、財務部，等等。現在LDAP還保留ou=這樣的命名規則，但是擴展了分類的范圍，可以分類為：ou=people, ou=groups, ou=devices，等等。更低一級的OU有時用來做更細的歸類。例如：LDAP目錄樹（不包括單獨的記錄）可能會是這樣的：
dc=foobar, dc=com
ou=customers
ou=asia
ou=europe
ou=usa
ou=employees
ou=rooms
ou=groups
ou=assets-mgmt
ou=nisgroups
ou=recipes
單獨的LDAP記錄
DN是LDAP記錄項的名字
??? 在LDAP目錄中的所有記錄項都有一個唯一的“Distinguished Name"，也就是DN。每一個LDAP記錄項的DN是由兩個部分組成的：相對DN（RDN）和記錄在LDAP目錄中的位置。
??? RDN是DN中與目錄樹的結構無關的部分。在LDAP目錄中存儲的記錄項都要有一個名字，這個名字通常存在cn（Common Name）這個屬性里。因為幾乎所有的東西都有一個名字，在LDAP中存儲的對象都用它們的cn值作為RDN的基礎。如果我把最喜歡的吃燕麥粥食譜存為一個記錄，我就會用cn=Oatmeal Deluxe作為記錄項的RDN。
??? l 我的LDAP目錄的基準DN是dc=foobar,dc=com
??? l 我把自己的食譜作為LDAP的記錄項存在ou=recipes
??? l 我的LDAP記錄項的RDN設為cn=Oatmeal Deluxe
上面這些構成了燕麥粥食譜的LDAP記錄的完整DN。記住，DN的讀法和DNS主機名類似。下面就是完整的DN：
??? cn=Oatmeal Deluxe,ou=recipes,dc=foobar,dc=com
舉一個實際的例子來說明DN
??? 現在為公司的員工設置一個DN。可以用基于cn或uid（User ID），作為典型的用戶帳號。例如，FooBar的員工Fran Smith （登錄名：fsmith）的DN可以為下面兩種格式：
??? uid=fsmith,ou=employees,dc=foobar,dc=com
（基于登錄名）
??? LDAP（以及X.500）用uid表示“User ID"，不要把它和UNIX的uid號混淆了。大多數公司都會給每一個員工唯一的登錄名，因此用這個辦法可以很好地保存員工的信息。你不用擔心以后還會有一個叫Fran Smith的加入公司，如果Fran改變了她的名字（結婚？離婚？或宗教原因？），也用不著改變LDAP記錄項的DN。
??? cn=Fran Smith,ou=employees,dc=foobar,dc=com
（基于姓名）
??? 可以看到這種格式使用了Common Name（CN）。可以把Common Name當成一個人的全名。這種格式有一個很明顯的缺點就是：如果名字改變了，LDAP的記錄就要從一個DN轉移到另一個DN。但是，我們應該盡可能地避免改變一個記錄項的DN。
定制目錄的對象類型
你可以用LDAP存儲各種類型的數據對象，只要這些對象可以用屬性來表示，下面這些是可以在LDAP中存儲的一些信息：
??? l 員工信息：員工的姓名、登錄名、口令、員工號、他的經理的登錄名，郵件服務器，等等。
???? l 物品跟蹤信息：計算機名、IP地址、標簽、型號、所在位置，等等。
???? l 客戶聯系列表：客戶的公司名、主要聯系人的電話、傳真和電子郵件，等等。
???? l 會議廳信息：會議廳的名字、位置、可以坐多少人、電話號碼、是否有投影機。
???? l 食譜信息：菜的名字、配料、烹調方法以及準備方法。
因為LDAP目錄可以定制成存儲任何文本或二進制數據，到底存什么要由你自己決定。LDAP目錄用對象類型（object classes）的概念來定義運行哪一類的對象使用什么屬性。在幾乎所有的LDAP服務器中，你都要根據自己的需要擴展基本的LDAP目錄的功能，創建新的對象類型或者擴展現存的對象類型。
LDAP目錄以一系列“屬性對”的形式來存儲記錄項，每一個記錄項包括屬性類型和屬性值（這與關系型數據庫用行和列來存取數據有根本的不同）。下面是我存在LDAP目錄中的一部分食譜記錄：
dn: cn=Oatmeal Deluxe, ou=recipes, dc=foobar, dc=com
cn: Instant Oatmeal Deluxe
recipeCuisine: breakfast
recipeIngredient: 1 packet instant oatmeal
recipeIngredient: 1 cup water
recipeIngredient: 1 pinch salt
recipeIngredient: 1 tsp brown sugar
recipeIngredient: 1/4 apple, any type
請注意上面每一種配料都作為屬性recipeIngredient值。LDAP目錄被設計成象上面那樣為一個屬性保存多個值的，而不是在每一個屬性的后面用逗號把一系列值分開。
???? 因為用這樣的方式存儲數據，所以數據庫就有很大的靈活性，不必為加入一些新的數據就重新創建表和索引。更重要的是，LDAP目錄不必花費內存或硬盤空間處理“空”域，也就是說，實際上不使用可選擇的域也不會花費你任何資源。
作為例子的一個單獨的數據項

讓我們看看下面這個例子。我們用Foobar, Inc.的員工Fran Smith的LDAP記錄。這個記錄項的格式是LDIF，用來導入和導出LDAP目錄的記錄項。
dn: uid=fsmith, ou=employees, dc=foobar, dc=com
objectclass: person
objectclass: organizationalPerson
objectclass: inetOrgPerson
objectclass: foobarPerson
uid: fsmith
givenname: Fran
sn: Smith
cn: Fran Smith
cn: Frances Smith
telephonenumber: 510-555-1234
roomnumber: 122G
o: Foobar, Inc.
mailRoutingAddress: fsmith@foobar.com
mailhost: mail.foobar.com
userpassword: {crypt}3x1231v76T89N
uidnumber: 1234
gidnumber: 1200
homedirectory: /home/fsmith
loginshell: /usr/local/bin/bash
屬性的值在保存的時候是保留大小寫的，但是在默認情況下搜索的時候是不區分大小寫的。某些特殊的屬性（例如，password）在搜索的時候需要區分大小寫。
讓我們一點一點地分析上面的記錄項。
??? dn: uid=fsmith, ou=employees, dc=foobar, dc=com
這是Fran的LDAP記錄項的完整DN，包括在目錄樹中的完整路徑。LDAP（和X.500）使用uid（User ID），不要把它和UNIX的uid號混淆了。
objectclass: person
objectclass: organizationalPerson
objectclass: inetOrgPerson
objectclass: foobarPerson
??? 可以為任何一個對象根據需要分配多個對象類型。person對象類型要求cn（common name）和sn（surname）這兩個域不能為空。persion對象類型允許有其它的可選域，包括givenname、telephonenumber，等等。organizational Person給person加入更多的可選域，inetOrgPerson又加入更多的可選域（包括電子郵件信息）。最后，foobarPerson是為Foobar定制的對象類型，加入了很多定制的屬性。
uid: fsmith
givenname: Fran
sn: Smith
cn: Fran Smith
cn: Frances Smith
telephonenumber: 510-555-1234
roomnumber: 122G
o: Foobar, Inc.
以前說過了，uid表示User ID。當看到uid的時候，就在腦袋里想一想“login"。
??? 請注意CN有多個值。就象上面介紹的，LDAP允許某些屬性有多個值。為什么允許有多個值呢？假定你在用公司的LDAP服務器查找Fran的電話號碼。你可能只知道她的名字叫Fran，但是對人力資源處的人來說她的正式名字叫做Frances。因為保存了她的兩個名字，所以用任何一個名字檢索都可以找到Fran的電話號碼、電子郵件和辦公房間號，等等。
mailRoutingAddress: fsmith@foobar.com
mailhost: mail.foobar.com
就象現在大多數的公司都上網了，Foobar用Sendmail發送郵件和處理外部郵件路由信息。Foobar把所有用戶的郵件信息都存在LDAP中。最新版本的Sendmail支持這項功能。
Userpassword: {crypt}3x1231v76T89N
uidnumber: 1234
gidnumber: 1200
gecos: Frances Smith
homedirectory: /home/fsmith
loginshell: /usr/local/bin/bash
??? 注意，Foobar的系統管理員把所有用戶的口令映射信息也都存在LDAP中。FoobarPerson類型的對象具有這種能力。再注意一下，用戶口令是用UNIX的口令加密格式存儲的。UNIX的uid在這里為uidnumber。提醒你一下，關于如何在LDAP中保存NIS信息，有完整的一份RFC。在以后的文章中我會談一談NIS的集成。
LDAP復制
??? LDAP服務器可以使用基于“推”或者“拉”的技術，用簡單或基于安全證書的安全驗證，復制一部分或者所有的數據。
??? 例如，Foobar有一個“公用的”LDAP服務器，地址為ldap.foobar.com，端口為389。Netscape Communicator的電子郵件查詢功能、UNIX的“ph"命令要用到這個服務器，用戶也可以在任何地方查詢這個服務器上的員工和客戶聯系信息。公司的主LDAP服務器運行在相同的計算機上，不過端口號是1389。
??? 你可能即不想讓員工查詢資產管理或食譜的信息，又不想讓信息技術人員看到整個公司的LDAP目錄。為了解決這個問題，Foobar有選擇地把子目錄樹從主LDAP服務器復制到“公用”LDAP服務器上，不復制需要隱藏的信息。為了保持數據始終是最新的，主目錄服務器被設置成即時“推”同步。這些種方法主要是為了方便，而不是安全，因為如果有權限的用戶想查詢所有的數據，可以用另一個LDAP端口。
??? 假定Foobar通過從奧克蘭到歐洲的低帶寬數據的連接用LDAP管理客戶聯系信息。可以建立從ldap.foobar.com:1389到munich-ldap.foobar.com:389的數據復制，象下面這樣：
periodic pull: ou=asia,ou=customers,o=sendmail.com
periodic pull: ou=us,ou=customers,o=sendmail.com
immediate push: ou=europe,ou=customers,o=sendmail.com
“拉”連接每15分鐘同步一次，在上面假定的情況下足夠了。“推”連接保證任何歐洲的聯系信息發生了變化就
立即被“推”到Munich。
用上面的復制模式，用戶為了訪問數據需要連接到哪一臺服務器呢？在Munich的用戶可以簡單地連接到本地服務
器。如果他們改變了數據，本地的LDAP服務器就會把這些變化傳到主LDAP服務器。然后，主LDAP服務器把這些變化
“推”回本地的“公用”LDAP服務器保持數據的同步。這對本地的用戶有很大的好處，因為所有的查詢（大多數是讀）都在本地的服務器上進行，速度非常快。當需要改變信息的時候，最終用戶不需要重新配置客戶端的軟件，因為LDAP目錄服務器為他們完成了所有的數據交換工作。
文章來源:http://x-spirit.spaces.live.com/Blog/cns!CC0B04AE126337C0!779.entry