web.xml中的auth约束元素

Question

假设我在web.xml中定义了3个sercurity-constrant元素，每个元素都指向相同的url-pattern。我在每个元素中分别定义了这3个auth-constraint元素：

<security-constraint>
...
    <auth-constraint>Role1</auth-constraint>
</security-constraint>
<security-constraint>
...
    <auth-constraint>Role2</auth-constraint>
</security-constraint>
<security-constraint>
...
    <auth-constraint/>
</security-constraint>

谁可以访问url-pattern中指定的资源？没人还是Role1和Role2？

Answer 1

如果你想检查一下，这里也有类似的问题：http://www.coderanch.com/t/498339/java-Web-Component-SCWCD/certification/Head-First-Servlets-JSP-auth

Answer 2

没有人可以访问。尽管<auth-constrant>元素是相加的，但一个<auth-constraint/>或<auth-constraint></auth-constraint> (没有主体)的存在会覆盖所有其他元素并阻止访问。