Web 安全与 过滤器

1. Servlet 安全的四大要素
	1）认证
	2）授权
	3）机密性
	4）数据完整性

2. 代码里不要有安全信息，Web 应用的安全约束都应该以声明的方式处理，
	也就是要在部署描述文件中指定。

3. 保护正在传输的数据：HTTPS（SSL之上的HTTPS）
	<security-contraint>
		<web-resource-collection>
			<web-resource-name>rescpies</web-resource-name>
			<url-pattern>/Beer/UpdateRecipes/*</url-pattern>
			<http-method>POST</http-method>
		</web-resource-collection>
		<auth-constraint>
			<role-name>Member</role-name>
		</auth-constraint>
		<user-data-constraint>
			<transport-gurantee>CONFIDENTIAL</tranport-guarantee>
		</user-data-constraint>
	</security-constraint>
	 
4. 过滤器的威力，允许拦截请求。如果能够拦截请求，那你还可以控制相应。最棒的是Servlet 对此一无所知。
	它不知道客户做出请求和容器调用Servlet 的service()方法之间已经有人介入。这就意味着需要重写servlet
	的时候，可以直接编写和配置一个过滤器，它就能影响所有的Servlet。
	
5. 过滤器是Java 组件，请求发送到Servlet 之前，可以用过滤器截获和处理请求，另外Servlet 结束工作之后，
	在响应发送给客户之前，可以用过滤器处理响应。容器根据DD（Web.xml）的声明来确定何时调用过滤器。在DD
	中，部署人员要建立映射，明确对哪个请求URL 模式要调用哪些过滤器。

6. 过滤器要做的事情：
	1. 请求过滤器 完成安全检查 重新格式化请求首部或体 建立请求审计或日志
	2. 响应过滤器 压缩响应流 追加或修改响应流 创建一个完全不同的响应。

7. 每个过滤器都必须实现Filter 中的三个方法：init doFilter destory
	FilterChain 设计为一些模块化的积木，可以采用多种不同的方式把这些过滤器结合起来。
	
8. Filter 的 doFilter 方法通常只完成过滤，FilterChain 的 doFilter 要负责明确接下来调用谁的 doFilter() 方法。

9. 声明和确定过滤去顺序。在 Web.xml 配置过滤器，通常要做的三件事情：
	声明过滤器 将过滤器映射到你想过滤的Web资源 组织这些映射，创建过滤器调用顺序
  <filter>
    <display-name>BeerRequestFilter</display-name>
    <filter-name>BeerRequestFilter</filter-name>
    <filter-class>com.example.web.BeerRequestFilter</filter-class>
  </filter>
  声明对应URL 模式的过滤器映射
  <filter-mapping>
    <filter-name>BeerRequestFilter</filter-name>
    <url-pattern>×.do</url-pattern>
  </filter-mapping>
  声明对应Servlet 名的过滤器映射
  <filter-mapping>
    <filter-name>BeerRequestFilter</filter-name>
    <servlet-name>AdviceServlet</servlet-name>
  </filter-mapping>

10. 过滤器可以应用于请求分派器 dispatcher 元素指明请求分派器的类型（REQUEST INCLUDE FORWARD ERROR）
   <filter>
    <display-name>BeerRequestFilter</display-name>
    <filter-name>BeerRequestFilter</filter-name>
    <filter-class>com.example.web.BeerRequestFilter</filter-class>
  </filter>
  <filter-mapping>
    <filter-name>BeerRequestFilter</filter-name>
    <url-pattern>/BeerRequestFilter</url-pattern>
    <dispatcher>REQUEST</dispatcher>
  </filter-mapping>
	 
11. 包装器类 如果你想创建定制请求或响应对象,只需要派生某个便利请求或响应"包装器"类就行了.
	包装器类包装了实际的请求或响应对象,而且把调用委托给实际的对象,还允许你对定制请求或响应做
	所需要的处理.
	sun 提供的四个包装器类.
	ServletRequestWrapper
	HttpServletRequestWrapper
	ServletResponseWrapper
	HttpServletResponseWrapper
	
12. 软件设计模式是对常见软件问题的一种可重复解决方案.