在web应用程序的配置文件web.xml里定义了以下几个标签，用于对受限资源访问的管理。
<security-constraint>
- 用来指定受保护的web资源以及对其可以访问的角色。
| 子元素 |
描述 |
| <web-resource-collection> |
声明受保护的web资源 |
| <web-resource-name> |
指定受保护资源的名字，是<web-resource-collection>的子元素 |
| <url-pattern> |
受保护的URL路径，是<web-resource-collection>的子元素 |
| <http-method> |
指定受保护的HTTP访问方法（包括DELETE,GET,POST和PUT），如果不定义，表示所有的方法都受保护，是<web-resource-collection>的子元素 |
| <auth-constraint> |
指定受保护资源安全限制 |
| <role-name> |
指定可以访问受保护资源的角色名，为<auth-constraint>的子元素 |
<login-config>
- 用来指定客户在访问受保护的web资源时，系统对客户进行验证的类型。
| 子元素 |
描述 |
| <auth-method> |
系统对客户验证的类型，有BASIC,DIGEST,FORM3种 |
| <realm-name> |
设定使用的Realm名称 |
| <form-login-config> |
使用FORM验证时的配置信息 |
| <form-login-page> |
使用FORM验证时的登录页面，是<form-login-config>的子元素 |
| <form-error-page> |
使用FORM验证时的错误处理页面，是<form-login-config>的子元素 |
<security-role>
- 用来声明web应用的角色名称。
| 子元素 |
描述 |
| <description> |
对当前的<security-role>元素进行描述 |
| <role-name> |
引用的角色名称 |