在了解了认证模式及Realm域后，我们看看Tomcat是如何设计实现资源安全管理的。在认证模式上，必须要支持多种认证模式，包括Basic模式、Digest模式、Form模式、Spnego模式、SSL模式及NonLogin模式。如何实现这些认证模式比较优雅，或者说比较清晰？看下图，在tomcat中一个请求从浏览器发送过来后，请求接收后会流向四个级别容器处理，即Engine->Host->Context->Wrapper，而且是以管道阀门（pipeline和valve）形式进行处理，只需往某个容器中添加一个阀门valve用于认证处理，由于要支持每个应用都可以有各自的认证机制，所以这个容器级别应该选为Context。
针对每种认证模式建立不同的认证器，例如Basic模式对应BasicAuthenticator、SSL模式对应SSLAuthenticator等等，这些认证器都要实现valve接口以便被Context的管道调用。认证器主要负责通过认证协议与客户端交互，收集用户的凭证信息并进行认证鉴权工作。所以这整个认证过程包含了两大步骤，一是收集用户凭证信息，另一个是对凭证鉴权，收集凭证其实就是用不同的协议约定让客户端协助收集，例如HTTP Basic协议。而对凭证的鉴权工作又是如何设计的？
鉴权工作主要是通过客户端用户名和密码找出相应的权限，然后根据查询出来的权限检查是否可以请求相应资源。正如下图，web层对应Context容器级别，所以在web应用中web.xml配置文件配置的权限信息会被加载到Context容器中，例如role1对应url1，role2对应url2、url3。除此之外，它还需要查询用户权限模块，这块就交由realm完成，realm抽象了用户与角色关系的一层。客户端传输过来用户名和密码后，xxxAuthenticator认证器通过realm获取到该用户的角色，然后判断是否有请求资源的权限，假如user1正在访问url1，通过user1和pwd1查出来的权限为role1，有url1权限则返回该资源。
Tomcat资源安全管理的实现思路很清晰，通过不同认证协议让客户端输入身份信息，接收到身份信息后则通过realm模块和web.xml权限配置共同判断是否返回正在请求的资源。
