Login - Allgemeine Fragen

[Gast5555]

Hallo,

hätte bezüglich einem Login fragen. Bisher habe ich immer mit dem Tomcat Realm gearbeitet. Nun gibt es ja das Problem, dass dieser nur auf dem Tomcat funktioniert.

Ist ein eigenes Login Script denn sicher genug? Hab mir das so vorgestellt:

Datenbanktabelle user (der Einfachheitalter nich normalisiert):
Name, Passwort, Rolle:
Hans, MD5Hash, Admin
Marc, MD5Hash, Kunde
Guenter, MD5Hash, Kunde

Login

Benutzer gibt Name und Passwort ein. Ich mach aus dem Passwort einen MD5Hash, und suche die Kombination in der DB! Wenn vorhanden login erfolgreich, ich schreibe in die Session den username (unique) und die Rolle wenn nicht dann Fehler.

Auf den einzelnen Seiten

Hier frage ich ab ob in der Session der Benutzername vorhanden ist und was für eine Rolle der Benutzer hat.


Irgendwelche Sicherheitsbedenken? Wie würdet ihr das machen???

 

[Guest]

Mit welchem Tomcat Realm?
UserDatabaseRealm?
JDBCRealm?

Wie auch immer, mit deiner geschilderten Variante schaltest du komplett den standardisierten Weg für Authentication und Authorisation aus.
Du kannst keine security-constraints, Rollen usw... in der web.xml definieren und damit auch nicht deklarativ gewisse Inhalte nur für bestimmte Rollen zulassen.
Du kannst nicht über request.isUserInRole() auf die Rollen bzw. request.getUserPrincipal() auf den User zugreifen.

Warum willst du das eigentlich so machen?
Auf welchem anderen Container soll das noch laufen?

ms

 

[Guest]

auf einem BEA WeblogicServer

hab es mit dem

<Realm className="org.apache.catalina.realm.JDBCRealm" driverName="org.gjt.mm.mysql.Driver"

gemacht.


Weil bisher ist es auf Tomcat/MySQL

es soll aber auf

BeaWeblogic/Oracle


oderk ann ich da trotzdem den JDSB Realm verwenden?

 

[ms]

Auf die schnelle hab ich das hier gefunden:
http://dev2dev.bea.com/pub/a/2004/01/whitepaper_tomcat_migration.html

ms (wieder angemeldet)

 

[Gast]

weitere Meinungen zum Vorhaben?

 

[maki]

Hab keine Erfahrung mit Weblogic, aber ms hat recht.

Ansonsten sieh dir doch mal das JAAS an.

 

[Pappenheimer++]

du meinst, die user sollen ihren md5-hash senden? ich kenn mich nicht aus, zugegeben, aber wäre es nicht schlauer, das mit ner challenge zu machen?