Utilizarea descriptorilor de implementare Java EE pentru a defini rolurile de securitate lipsă

Această regulă semnalează elementele auth-constraint, role-name găsite în fişierul WEB-INF/web.xml care nu are elementul security-role corespunzător. Serverul Apache Tomcat nu necesită ca elementul security-role să fie definit, dar specificaţia Java EE indică faptul că trebuie să fie definit.

Acesta este un exemplu de elemente auth-constraint, role-name care vor fi semnalate:

<web-app> ... <security-constraint> <display-name>ThisConstraint</display-name> <web-resource-collection> <web-resource-name>adminResources</web-resource-name> <url-pattern>/*</url-pattern> <http-method>GET</http-method> </web-resource-collection> <auth-constraint> <description>The admins</description> <role-name>admin</role-name> <role-name>superuser</role-name> </auth-constraint> </security-constraint> </web-app>

Ambele linii, <role-name>admin</role-name> şi <role-name>superuser</role-name>, vor fi semnalate.

Scanerul de sursă conţine o corecţie rapidă care adaugă orice element security-role lipsă.

În acest exemplu, corecţia rapidă va adăuga următoarele elemente la fişierul web.xml:

<security-role> <role-name>admin</role-name> </security-role> <security-role> <role-name>superuser</role-name> </security-role>