🚀 go-pugleaf

La carpete WEB-INF es la única carpeta dentro de una aplicación web a
la que está ESCRUPULOSAMENTE PROHIBIDO el acceso directo. En esa
carpeta almacenamos web.xml, y otros ficheros "sensibles" a ojos
ajenos.

Originalmente para acceder a las JSPs directamente (sin necesidad de
servlets extras), estas se ubicaban en el directorio raiz de la
aplicación o en un subdirectorio creado para tal fin (llamado jsp,
pages, ...). Esto es lo que te aconsejan los libros y manuales al uso.
Pero esto tiene un problema: Situar todas las jsp's directamente
accesibles para el usuario final provoca un grave riesgo de seguridad.
Por "tanteo" podrías probar accesos a JSPs que quizá no deberías tener
permisos. Podrías probar a ver si existen en el servidor paginas del
tipo seguridad.jsp, contraseñas.jsp, password.jsp... u otras materias
delicadas. Además sabrás que muchas JSPs se forman haciendo "includes"
de otras, y estas segundas JSPs no deben ser accedidas directamente
(tipo cabecera.jsp, menuizquierda.jsp, ...).

Es por todo esto que se aconseja situar las jsp en un direcotrio Sin
Acceso externo y desde un servlet controlar qué url se están
solicitando y quien las está solicitando. Se aconseja entonces mover
las JSP al único directorio que sabemos que va a estar seguro.

Saludos y leerse las especificaciones y la documentación, que está pa
algo cojones !!


On 12 jul, 02:13, Lex Sparrow <MiNickSinSpac...@yahoo.es> wrote:
> Buenas,
>
> Queria preguntaros como puedo configurar el web.xml de mi aplicación para que
> una vez desplegado el .war en Tomcat pudiera acceder a la carpeta \WEB-INF
> \jsp de mis aplicaciones sin necesidad de tener en el los servlets un forward
> al jsp en cuestión. Antiguamente, con versiones anteriores al Tomcat 1.6 se
> podía, pero ahora si uno intentar acceder a la carpeta jsp "a pelo", todo el
> rato da 404 diciendo que los jsp (o la carpeta no existen).
>
> ¿Alguna ayuda?
>
> Lex