Servlet でのログイン処理について

Question

Servletにて、ログイン画面を作成しておりますが、
うまくできません。
どこを修正するべきか、教えていただけないでしょうか？

ORACLEのデータベースの表一覧に一致するものがあれば、
ログインできるようにしていますが、
一致する値を入力してもログインできません。

例)
ID PASSWORD

a a
bb bb
ccc ccc
dddd dddd
eeeee eeeee

trueを返すことでログインでき、
falseを返すことで失敗となるようにしていますが、

/**
* ログインの判定
*
* @param user
* ユーザ名
* @param pass
* パスワード
* @return
*/
protected boolean authUser(String user, String pass) {

	boolean judge = false; // 判定
	// DBの読み込み
	try {
		Class.forName("oracle.jdbc.driver.OracleDriver").newInstance();
		conn = DriverManager.getConnection(url, user_name, user_pass);
		stmt = conn.createStatement();
		sql = "SELECT * FROM MANAGER";
		rs = stmt.executeQuery(sql);
	} catch (ClassNotFoundException e) {
		return judge;
	} catch (Exception e) {
		return judge;
	} finally {
		try {
			// 判定
			while (rs.next() && judge == true) {
				String name = rs.getString("ID");
				String password = rs.getString("PASSWORD");
				if (name == user && pass == password) {
					judge = true;
				} else {
					judge = false;
				}
			}
			rs.close();
			stmt.close();
			conn.close();
		} catch (SQLException e) {
		}
	}
	return judge;
}

Answer 1

SQLでデータを全部引っ張ってきてfor文でグルグル判定させるのはメモリの無駄になってしまうかと。

「画面から入力されたIDとパスワードを、SQL文のwhere句に指定して、取得できなかったらエラー」
という方が処理も早いです。

で、値の判定なのですが、==の判定はjavaでは同じインスタンスかどうかの判定になります。
同じ値かどうかの判定にはequals()メソッドを使用してください。

Answer 2

boolean judge = false; // 判定 

// 略

while (rs.next() && judge == true) { 

}

while に到達する間に、judge が true になることはありませんので、
永久に while に入ることはありません。
つまり、永久に judge が true になることがないため、ログインできないのでしょう。

あと、判定処理を finally で行っているのもおかしいです。
try句 で例外が起きてしまった場合、conn とか stmt とか rs とか null になると思うので、
NullPointer になると思いますよ。

if (name == user && pass == password)
Javaでは、文字列比較に == を使ってはいけません。

protected boolean authUser(String user, String pass) {

    // DBの読み込み 
    try { 
        Class.forName("oracle.jdbc.driver.OracleDriver").newInstance(); 
        conn = DriverManager.getConnection(url, user_name, user_pass); 
        stmt = conn.createStatement(); 
        sql = "SELECT * FROM MANAGER"; 
        rs = stmt.executeQuery(sql); 

        // 判定 
        while (rs.next()) { 
            String name = rs.getString("ID"); 
            String password = rs.getString("PASSWORD"); 
            if (name.equals(user) && pass.equals(password)) { 
                return true;
            } 
        } 
    	
    } catch (ClassNotFoundException e) { 
		e.printStackTrace();
    } catch (Exception e) { 
    	e.printStackTrace();
    } finally { 
    	if (rs != null) {
    		try {
    			rs.close();
    		} catch (SQLException e) {
    			e.printStackTrace();
    		}
    	}
    	
    	if (stmt != null) {
    		try {
    			stmt.close();
    		} catch (SQLException e) {
    			e.printStackTrace();
    		}
    	}
    	
    	if (conn != null) {
    		try {
    			conn.close();
    		} catch (SQLException e) {
    			e.printStackTrace();
    		}
    	}
    } 
    return false; 
}

今はそのままにしてますが、本当は java.sql.Statement は
セキュリティの問題上使ってはいけません。

いかなる時も、java.sql.PreparedStatement を使うようにしてください。
prepareStatementの使用