如何在Tomcat 5.5.x中授予对已认证用户的访问权限？

Question

我想在我的Web应用程序中授予对已验证用户的访问权限，而不要求他们成为特定角色的成员。

我的第一个猜测是指定在我的auth-约束<role-name>*</role_name>，但似乎这只是意味着在我的web应用程序定义的，不授予访问任何身份验证的用户的任何角色授予访问权限。

是否有可能做到这一点在Tomcat中的5.5.x如果又如何？

Answer 1

我想直接的答案是否定的，你不能这样做在的Java EE 5但是你可以创造出每一个认证用户的一部分的“每个人”的角色。我认为这就是John正在做的事情，也是我该怎么做的。它真的没有太大的不同。或者，如果您愿意以编程方式执行此操作，并且正在使用容器管理的身份验证，则应该能够通过检查HttpServletRequest.getRemoteUser（）是否为空来检测已通过身份验证的用户。这不涉及角色。

Answer 2

事实证明，Tomcat确实支持这一点。在server.xml中，在相应的Realm标记中添加allRolesMode = authOnly 。