🚀 go-pugleaf

Claudio ha escrito:

> On 2006-12-15, Guevonaso <fernando.rosado@gmail.com> wrote:
> > La duda es la siguiente.
> > En mi aplicación antes de hacer nada compruebo si el usuario está
> > identificado y en caso afirmativo, si tiene permiso para hacer la
> > operacion concreta.
> >
> > El caso es que en caso de que no tenga permiso indico el error :
> >
> > HttpServletResponse.SC_FORBIDDEN : 403
> >
> > Y si no se a identificado en la plataforma:
> >
> > HttpServletResponse.SC_UNAUTHORIZED : 401
> >
> > Mi duda es si estos son los códigos correctos, creo que si pero
> > quisiera confirmalo.
>
> Por completar un poco: con el código 401 le indicas al navegador cliente
> que le presente al usuario una pantallita en la que debe introducir el
> usuario y la contraseña para que se autentifique en el sistema. Esa
> autentificación va vía dos cabeceras: remote_user y otra para la pass,
> que no recuerdo como se llama, y la puede tratar el servidor web para
> autentificar al usuario o bien la puede tratar tu aplicación. Si quieres
> pintar tú mismo la pantallita de login no debes usar el 401.


El caso es que tengo un proceso de verificación de permisos, un
usuario se identifica y tiene unos permisos.

si por cualquier cosa el usuario intenta acceder a una URL a la que no
tiene permiso, vuelvo a una página inicial y le digo "no tienes
permisos para hacer eso". Pero si el usuario no se ha identificado (o
ha perdido la sesion) lo que hago es volver a la página de login con
un mensaje "tienes que identificarte".

Funciona y eso, pero quería hacerlo enviando mensajes de error. De
forma que en el control hago :
response.sendError(HttpServletResponse.SC_FORBIDDEN, "not Authorized");
para 403
response.sendError(HttpServletResponse.SC_UNAUTHORIZED, "not
Authorized");
para 401


en Web.xml tengo :
error-page>
	error-code>403</error-code>
	location>/comun/pag/error/403.jsp
error-page>
	error-code>401
	location>/comun/pag/error/401.jsp
error-page>

Y en cada JSP hago un proceso de forward a la url adecuada.

Ahora la duda es lo que me comentas sobre las cabeceras de
autenticación. ¿entonces el error 401 no se debe usar como yo lo
comento?

Muchas gracias.
Fernando