J2EE Misconfiguration: Missing Authentication Method

As restrições de segurança e autorização não funcionarão sem uma configuração de login.

O elemento <login-config> é usado para configurar como os usuários se autenticam em um aplicativo. A ausência de um método de autenticação significa que o aplicativo não sabe como aplicar restrições de autorização, pois ninguém pode fazer login. O método de autenticação é especificado usando a tag <auth-method> que é “child-of” de <login-config>.

Existem quatro métodos de autenticação: BASIC, FORM, DIGEST e CLIENT_CERT.

BASIC denota autenticação HTTP Basic.
FORM denota autenticação baseada em formulário.
DIGEST é como a autenticação BASIC; entretanto, em DIGEST a senha é criptografada.
CLIENT_CERT requer que os clientes tenham certificados de chave pública e usem SSL/TLS.

Exemplo 1: A configuração a seguir não especifica uma configuração de login.

<web-app>

    <!-- servlet declarations -->
    <servlet>...</servlet>

    <!-- servlet mappings-->
    <servlet-mapping>...</servlet-mapping>

    <!-- security-constraints-->
    <security-constraint>...</security-constraint>

    <!-- login-config goes here -->

    <!-- security-roles -->
    <security-role>...</security-role>

</web-app>