web.xml 是描述配置的文件，这里集中说明一下安全相关的配置元素。
<security-constraint>：这个元素限制对一个或者多个资源的访问，可以在配置信息中出现多次。上面的配置信息中，它限制了 chapter 目录 (http://localhost:8080/learn/chapter) 下所有资源的访问。<security-constraint> 包含了下列元素：
<web-resource-collection>：这个元素用于标识你想限制访问的资源。你可以定义 URL 模式 和 HTTP 方法 (用 <http-method> 元素定义 HTTP 方法)。如果没有定义 HTTP 方法，那么限制将应用于所有方法。在上面的应用中，我想限制访问的资源是 http://localhost:8080/learn/chapter/*，也就是 chapter 目录下的所有文档。
<auth-constraint>：这个元素可以访问上面定义的受限资源的用户角色。在上面的应用中，tomcat、author 和 erader 这三个角色可以访问这些资源。
<login-config>：这个元素用于指定验证方法。它包含下列元素：
<auth-method>：指定验证方法。它的值可能是下列值集中的一个：BASIC (基本验证)、DIGEST (摘要验证)、FORM (基于表单的验证) 或者 CLIENT-CERT (客户证书验证)。
<realm-name>：如果选用 BASIC 方法进行验证的时候，标准登录对话框中的一个描述名称。