J2EE Misconfiguration: Missing Authentication Method

Las restricciones de seguridad y autorización darán error sin una configuración de inicio de sesión.

El elemento <login-config> se utiliza para configurar cómo los usuarios se autentican en una aplicación. La ausencia de un método de autenticación significa que la aplicación no sabe cómo aplicar restricciones de autorización ya que nadie puede iniciar sesión. El método de autenticación se especifica mediante la etiqueta <auth-method>, que es un elemento secundario de <login-config>.

Hay cuatro métodos de autenticación: BASIC, FORM, DIGEST, y CLIENT_CERT.

BASIC indica autenticación HTTP básica.
FORM indica autenticación basada en formularios.
DIGEST es como la autenticación BASIC; sin embargo, en DIGEST la contraseña está cifrada.
CLIENT_CERT requiere que los clientes tengan certificados de clave pública y utilicen SSL/TLS.

Ejemplo 1: La siguiente configuración no especifica una configuración de inicio de sesión.

<web-app>

    <!-- servlet declarations -->
    <servlet>...</servlet>

    <!-- servlet mappings-->
    <servlet-mapping>...</servlet-mapping>

    <!-- security-constraints-->
    <security-constraint>...</security-constraint>

    <!-- login-config goes here -->

    <!-- security-roles -->
    <security-role>...</security-role>

</web-app>