Unterschied zwischen Sitzung.getServletContext() und session.getServletContext().getContext("/SampleProject")

Spüre ich deine Frage wurde etwas falsch verstanden, und dass du schon das grundlegende Verständnis der API, d.h. nachdem Sie eine web-app setzt seinen crossContext="true" könnte es getContext() Zugang zu einem Kontext, der entspricht zu einigen anderen web-app die auf dem server bereitgestellt.

getServletContext().getContext() equals NULL unless <Context crossContext="true">

Von dem, was ich verstanden habe, deine Frage eigentlich ist, dass in /SameWebApp warum

ServletContext context1 = session.getServletContext();
context1.setAttribute("contextAttribute", new Object());
ServletContext context2 = session.getServletContext().getContext("/SameWebApp");

System.out.println(context1.equals(context2)); //prints false, or 
System.out.println(context2.getAttribute("contextAttribute")); //prints null (at least they could have been clones)

In nur einem Wort, die Antwort ist "Sicherheit". Vorstellen, wenn Sie konnte nicht garantieren, dass eine "adminEmail" context-Attribut nicht manipuliert wurde, indem ein böse web-app mit seiner crossContext=true. Ihre app möglicherweise helfen könnte gefährden sich selbst, sobald Sie auf "Passwort Vergessen" - Anfrage kommt! 🙂

Einen Tauchgang in Tomcat Interna

Tomcat 7 bietet eine class ApplicationContext implements ServletContext dass Renditen von getContext("/context-root") als

    if (context.getCrossContext()) {
        //If crossContext is enabled, can always return the context
        return child.getServletContext();
    } else if (child == context) {
        //Can still return the current context
        return context.getServletContext();
    } else {
        //Nothing to return
        return (null);
    }

Hier context gehört zu aktuellen web-app und die child ist die andere web-app. Aber, halt, was macht Tomcat nennen es ein Kind?

Diese beiden eigentlich gar nicht ApplicationContext aber Instanzen von StandardContext eine Klasse, die implements Context sondern der servlet-spezifische Dinge hält Tomcat-spezifische config-Einstellungen für eine web-app wie crossContext, hostname, mimeMappings etc. StandardContext.getParent() gibt Ihnen die Container und daher verwiesen wurde, wie ein Kind vor.

Egal, uns interessiert der Fall, wenn child == context wahr ist, d.h. getContext() genannt wurde, auf die "/SameWebApp". Der Aufruf delegiert StandardContext.getServletContext() das umgesetzt, um wieder eine andere Instanz von ApplicationContext.

Dies ist der Grund, warum die Attribute, die Sie in context1 sind nicht in context2.

Aber warten Sie, es gibt einige mehr. Warum StandardContext.getServletContext() Gegenzug, wie

return (context.getFacade());

Einer Tomcat-Instanz ist grundsätzlich die Ausführung zwei Arten von Java-code:

• container zur Verfügung gestellt, und
• Benutzer bereitgestellt

Container code "Vertrauenswürdig" und müssen möglicherweise mit erhöhten Berechtigungen ausführen manchmal. Der Benutzer-code, auf der anderen Seite, ist nicht vertrauenswürdig und muss eingeschränkt werden, Kompromisse Tomcat-Interna.

Eines der Dinge, die Tomcat ist dies zu erreichen ist immer wickeln Sie ein ApplicationContextFacade rund um die ApplicationContext (und damit die StandardContext auch). Also nur zur Erinnerung, was zu sein scheint eine einfache ServletContext Umsetzung ist eigentlich eine StandardContext zugeordnet ApplicationContext die dann eingewickelt in eine ApplicationContextFacade.

Weitere Informationen, wie Sie die ApplicationContextFacade arbeitet mit Reflexion im tandem mit Globals.IS_SECURITY_ENABLED und SecurityUtil.isPackageProtectionEnabled() Einstellungen werfen Sie bitte einen Blick auf Warum Servlets Zugriff auf Tomcat-Datei ApplicationContext durch eine Fassade auf SO.

Referenzen:

Tomcat-7-Quellcode (Download-Link)

Denken OO & java EE Plattform standards + Sicherheit.

Der erste Aufruf gibt die definitive servlet-Kontext für die aktuelle app, die mit allen Operationen unterstützt.

Dem zweiten Aufruf gibt ein kopieren der servlet-Kontext, der könnte für jede app. Wie gesagt (eher vage!) in der javadoc, es ist Zweck ist, zu ermöglichen, erhalten Sie eine RequestDispatcher, so können Sie den Versand an Seiten, die von anderen apps. Es ist anderen großen sondern implizite Anforderung besteht darin, diese sicher und zu respektieren, die Java-EE-specs, die nicht zulassen, dass die Freigabe der session-oder servlet-Kontext zwischen apps. Stellen Sie sich den schrecklichen Schaden "rogue App "B" tun, um "gute App", wenn es nur ändern könnte (oder Lesen) Servlet-Kontext-Daten von brute-force. Deshalb ist es eine Kopie.

Also, Einstellung-Attribute, die auf das kopieren, führt nicht zu änderungen an der ursprünglichen. Man könnte argumentieren, dass die Kopie sollte werfen einige "Nicht Unterstützter Vorgang Ausnahme". Alternativ könnte man argumentieren, dass getRequestDispatcher sollte umgestaltet werden entweder in eine andere Klasse, oder zu ermöglichen, ein App-Kontext-URL übergeben werden. ... Aber, leider, keines dieser Dinge sind wahr. B^)