23

我想在用户登录我的系统后控制访问。

例如：

administrator : can add, delete and give rights to employee
employee : fill forms only
...

所以在知道用户有哪些权限之后，检查数据库，我想限制这个用户可以看到和做的事情。有一种简单的方法可以做到这一点吗？

编辑

@WebFilter("/integra/user/*")
public class LoginFilter implements Filter {

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws ServletException, IOException {    
        HttpServletRequest req = (HttpServletRequest) request;
        Authorization authorization = (Authorization) req.getSession().getAttribute("authorization");

        if (authorization != null && authorization.isLoggedIn()) {
            // User is logged in, so just continue request.
            chain.doFilter(request, response);
        } else {
            // User is not logged in, so redirect to index.
            HttpServletResponse res = (HttpServletResponse) response;
            res.sendRedirect(req.getContextPath() + "/integra/login.xhtml");
        }
    }

    // You need to override init() and destroy() as well, but they can be kept empty.


    @Override
    public void init(FilterConfig filterConfig) throws ServletException {

    }

    @Override
    public void destroy() {
    }
}
4

1 回答 1

35

嗯，这是一个相当广泛的主题。当您开始使用自制身份验证时，我将针对自制授权的答案。

如果模型设计合理，Java/JSF 中的角色检查本身就相对简单。假设单个用户可以具有多个角色（在现实世界的应用程序中经常出现这种情况），您最终希望得到类似的结果：

public class User {

    private List<Role> roles;

    // ...

    public boolean hasRole(Role role) {
        return roles.contains(role);
    }

}

public enum Role {

    EMPLOYEE, MANAGER, ADMIN;

}

这样您就可以在 JSF 视图中按如下方式检查它：

<h:selectManyCheckbox value="#{user.roles}" disabled="#{not user.hasRole('ADMIN')}">
    <f:selectItems value="#{Role}" />
</h:selectManyCheckbox>

<h:commandButton value="Delete" rendered="#{user.hasRole('ADMIN')}" />

在你的过滤器中：

String path = req.getRequestURI().substring(req.getContextPath().length());

if (path.startsWith("/integra/user/admin/") && !user.hasRole(Role.ADMIN)) {
    res.sendError(HttpServletResponse.SC_UNAUTHORIZED);
}

最困难的部分是将这个 Java 模型转换为健全的 DB 模型。根据具体的业务需求，有几种不同的方法，每种方法都有自己的（缺点）优势。或者您可能已经有一个数据库模型，您必须在该模型上建立您的 Java 模型（因此，您需要自底向上设计）？

无论如何，假设您使用的是 JPA 2.0（您的问题历史至少证实了这一点）并且您可以自顶向下设计，最简单的方法之一是将roles属性映射为@ElementCollection一个user_roles表格。由于我们使用的是Role枚举，role所以不需要第二个表。同样，这取决于具体的功能和业务需求。

在通用 SQL 术语中，该user_roles表可能如下所示：

CREATE TABLE user_roles (
    user_id BIGINT REFERENCES user(id),
    role VARCHAR(16) NOT NULL,
    PRIMARY KEY(user_id, role)
)

然后将其映射如下：

@ElementCollection(targetClass=Role.class, fetch=FetchType.EAGER)
@Enumerated(EnumType.STRING)
@CollectionTable(name="user_roles", joinColumns={@JoinColumn(name="user_id")})
@Column(name="role")
private List<Role> roles;

这基本上就是您在User实体中需要更改的所有内容。

除了自制身份验证（登录/注销）和授权（角色检查）之外，还有 Java EE 提供的容器管理身份验证，您可以使用它登录j_security_check或HttpServletRequest#login()，过滤 HTTP 请求<security-constraint>inweb.xml，检查登录用户#{request.remoteUser}及其角色#{request.isUserInRole('ADMIN')}， ETC。

然后有几个 3rd 方框架，例如PicketLink、Spring Security、Apache Shiro等。但这都是不可能的 :)

于 2012-09-21T00:03:50.687 回答