如何在Tomcat 9的JNDIRealm中配置多角色访问控制

首先说明你之前的配置错误原因：
userRoleName 参数的作用是指定LDAP用户对象中存储角色关联的属性名称（比如你原配置里的memberof，对应LDAP用户的memberOf属性），并不是用来限制用户必须拥有的角色，所以设置成"Special Users,Other Users"完全无效。

要实现同时拥有Special Users和Other Users角色才能访问的需求，有以下几种可行方案：

方案一：JSP页面内直接校验 #

在目标JSP的开头添加角色校验逻辑，不符合条件直接返回403：

<%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%>
<%@ page import="javax.servlet.http.HttpServletResponse" %>
<%
    boolean hasSpecialRole = request.isUserInRole("Special Users");
    boolean hasOtherRole = request.isUserInRole("Other Users");
    
    if (!hasSpecialRole || !hasOtherRole) {
        response.sendError(HttpServletResponse.SC_FORBIDDEN);
        return; // 终止页面后续渲染
    }
%>
<!-- 以下是你的JSP页面内容 -->

方案二：自定义Servlet Filter（推荐） #

通过Filter统一拦截请求，校验角色后再决定是否放行，适合多个页面需要相同权限规则的场景：

1. 编写Filter类 #

import javax.servlet.*;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

public class DualRoleValidationFilter implements Filter {

    @Override
    public void init(FilterConfig config) throws ServletException {}

    @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) 
            throws IOException, ServletException {
        
        HttpServletRequest request = (HttpServletRequest) req;
        HttpServletResponse response = (HttpServletResponse) res;

        // 检查是否同时拥有两个目标角色
        boolean hasSpecial = request.isUserInRole("Special Users");
        boolean hasOther = request.isUserInRole("Other Users");

        if (hasSpecial && hasOther) {
            chain.doFilter(req, res); // 符合条件，放行请求
        } else {
            response.sendError(HttpServletResponse.SC_FORBIDDEN); // 返回403禁止访问
        }
    }

    @Override
    public void destroy() {}
}

2. 在web.xml中配置Filter #

将Filter映射到需要保护的JSP路径：

<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_4_0.xsd"
         version="4.0">

    <!-- 定义Filter -->
    <filter>
        <filter-name>DualRoleFilter</filter-name>
        <filter-class>com.your.package.DualRoleValidationFilter</filter-class>
    </filter>

    <!-- 映射到目标JSP -->
    <filter-mapping>
        <filter-name>DualRoleFilter</filter-name>
        <url-pattern>/your-protected-page.jsp</url-pattern>
    </filter-mapping>

</web-app>

补充说明 #

• Tomcat的web.xml安全约束（<auth-constraint>）默认是或逻辑（用户拥有任意一个指定角色即可访问），无法直接实现与逻辑的多角色校验，因此需要通过上述程序式的方式实现。
• 两种方案都依赖Tomcat已经通过JNDIRealm正确获取到用户的所有角色（你当前的Realm配置已经能正确获取角色，无需修改）。

内容的提问来源于stack exchange，提问作者halloleo