Utilizza i descrittori di distribuzione Java EE per definire i ruoli di sicurezza mancanti

Questa regola contrassegna gli elementi auth-constraint, role-name trovati nel file WEB-INF/web.xml in cui manca il corrispondente elemento security-role. Il server Apache Tomcat non richiede che l'elemento security-role sia definito, ma l'applicazione Java EE indica che deve essere definito.

Questo è un esempio di elementi auth-constraint, role-name che dovrebbero essere contrassegnati:

<web-app> ... <security-constraint> <display-name>ThisConstraint</display-name> <web-resource-collection> <web-resource-name>adminResources</web-resource-name> <url-pattern>/*</url-pattern> <http-method>GET</http-method> </web-resource-collection> <auth-constraint> <description>The admins</description> <role-name>admin</role-name> <role-name>superuser</role-name> </auth-constraint> </security-constraint> </web-app>

Entrambe le righe <role-name>admin</role-name> e <role-name>superuser</role-name> dovrebbero essere contrassegnate.

Lo scanner origine contiene una correzione rapida che aggiunge gli elementi security-role mancanti.

In questo esempio, la correzione rapida aggiunge i seguenti elementi al file web.xml:

<security-role> <role-name>admin</role-name> </security-role> <security-role> <role-name>superuser</role-name> </security-role>