我想知道当前的方法是什么关于使用JSF 2.0（以及如果确实存在任何组件）和Java EE 6核心机制（登录/检查权限/注销）的Web应用程序的用户身份验证，用户信息保存在JPA中实体。Oracle Java EE 教程在这方面有点稀疏（仅处理 servlet）。
这没有使用整个其他框架，例如 Spring-Security (acegi) 或 Seam，但如果可能的话，希望能坚持使用新的 Java EE 6 平台（Web 配置文件）。
问问题
148131 次
4 回答
153
我想您希望使用部署描述符和 基于表单的身份验证。j_security_check
您也可以在 JSF 中执行此操作，只需使用相同的预定义字段名称j_username，j_password如教程中所示。
例如
<form action="j_security_check" method="post">
<h:outputLabel for="j_username" value="Username" />
<h:inputText id="j_username" />
<br />
<h:outputLabel for="j_password" value="Password" />
<h:inputSecret id="j_password" />
<br />
<h:commandButton value="Login" />
</form>
您可以在Usergetter 中进行延迟加载以检查 是否User已经登录，如果没有，则检查Principal请求中是否存在 ，如果存在，则获取User与j_username.
package com.stackoverflow.q2206911;
import java.io.IOException;
import java.security.Principal;
import javax.faces.bean.ManagedBean;
import javax.faces.bean.SessionScoped;
import javax.faces.context.FacesContext;
@ManagedBean
@SessionScoped
public class Auth {
private User user; // The JPA entity.
@EJB
private UserService userService;
public User getUser() {
if (user == null) {
Principal principal = FacesContext.getCurrentInstance().getExternalContext().getUserPrincipal();
if (principal != null) {
user = userService.find(principal.getName()); // Find User by j_username.
}
}
return user;
}
}
User显然可以在 JSF EL 中通过#{auth.user}.
注销做一个HttpServletRequest#logout()（并设置User为空！）。HttpServletRequest您可以通过 获取JSF 中的句柄ExternalContext#getRequest()。您也可以完全使会话无效。
public String logout() {
FacesContext.getCurrentInstance().getExternalContext().invalidateSession();
return "login?faces-redirect=true";
}
对于剩余部分（在部署描述符和领域中定义用户、角色和约束），只需按照通常的方式遵循 Java EE 6 教程和 servletcontainer 文档即可。
更新：您还可以使用新的 Servlet 3.0HttpServletRequest#login()进行编程登录，而不是使用j_security_check某些 servlet 容器中的调度程序本身可能无法访问的登录。在这种情况下，您可以使用一个完整的 JSF 表单和一个具有username和password属性的 bean 和一个login方法，如下所示：
<h:form>
<h:outputLabel for="username" value="Username" />
<h:inputText id="username" value="#{auth.username}" required="true" />
<h:message for="username" />
<br />
<h:outputLabel for="password" value="Password" />
<h:inputSecret id="password" value="#{auth.password}" required="true" />
<h:message for="password" />
<br />
<h:commandButton value="Login" action="#{auth.login}" />
<h:messages globalOnly="true" />
</h:form>
这个视图范围的托管 bean 还记得最初请求的页面：
@ManagedBean
@ViewScoped
public class Auth {
private String username;
private String password;
private String originalURL;
@PostConstruct
public void init() {
ExternalContext externalContext = FacesContext.getCurrentInstance().getExternalContext();
originalURL = (String) externalContext.getRequestMap().get(RequestDispatcher.FORWARD_REQUEST_URI);
if (originalURL == null) {
originalURL = externalContext.getRequestContextPath() + "/home.xhtml";
} else {
String originalQuery = (String) externalContext.getRequestMap().get(RequestDispatcher.FORWARD_QUERY_STRING);
if (originalQuery != null) {
originalURL += "?" + originalQuery;
}
}
}
@EJB
private UserService userService;
public void login() throws IOException {
FacesContext context = FacesContext.getCurrentInstance();
ExternalContext externalContext = context.getExternalContext();
HttpServletRequest request = (HttpServletRequest) externalContext.getRequest();
try {
request.login(username, password);
User user = userService.find(username, password);
externalContext.getSessionMap().put("user", user);
externalContext.redirect(originalURL);
} catch (ServletException e) {
// Handle unknown username/password in request.login().
context.addMessage(null, new FacesMessage("Unknown login"));
}
}
public void logout() throws IOException {
ExternalContext externalContext = FacesContext.getCurrentInstance().getExternalContext();
externalContext.invalidateSession();
externalContext.redirect(externalContext.getRequestContextPath() + "/login.xhtml");
}
// Getters/setters for username and password.
}
这样User就可以在 JSF EL 中通过#{user}.
于 2010-02-05T12:31:33.080 回答
85
在搜索了 Web 并尝试了许多不同的方法之后，以下是我对 Java EE 6 身份验证的建议：
设置安全领域：
就我而言，我在数据库中有用户。所以我按照这篇博文创建了一个 JDBC 领域，它可以根据我的数据库表中的用户名和 MD5 哈希密码对用户进行身份验证：
http://blog.gamatam.com/2009/11/jdbc-realm-setup-with-glassfish-v3.html
注意：该帖子讨论了数据库中的用户和组表。我有一个 User 类，其 UserType 枚举属性通过 javax.persistence 注释映射到数据库。我为用户和组配置了同一张表，使用 userType 列作为组列，它工作正常。
使用表单认证：
还是按照上面的博文，配置你的web.xml和sun-web.xml，但是不用BASIC认证，用FORM（其实用哪一个都无所谓，但我最后还是用了FORM）。使用标准 HTML，而不是 JSF。
然后使用 BalusC 上面关于从数据库中延迟初始化用户信息的技巧。他建议在托管 bean 中执行此操作，从 faces 上下文中获取主体。相反，我使用有状态会话 bean 来存储每个用户的会话信息，因此我注入了会话上下文：
@Resource
private SessionContext sessionContext;
通过主体，我可以检查用户名，并使用 EJB 实体管理器从数据库中获取用户信息并存储在我的SessionInformationEJB 中。
登出：
我还四处寻找最好的注销方式。我发现最好的一个是使用 Servlet：
@WebServlet(name = "LogoutServlet", urlPatterns = {"/logout"})
public class LogoutServlet extends HttpServlet {
@Override
protected void service(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
HttpSession session = request.getSession(false);
// Destroys the session for this user.
if (session != null)
session.invalidate();
// Redirects back to the initial page.
response.sendRedirect(request.getContextPath());
}
}
尽管考虑到问题的日期，我的回答确实很晚，但我希望这可以帮助其他最终从谷歌来到这里的人，就像我一样。
再见，
维托·苏萨
于 2010-06-08T12:32:51.607 回答
7
应该提到的是，将身份验证问题完全留给前端控制器（例如 Apache Web 服务器）并评估 HttpServletRequest.getRemoteUser() 是一种选择，它是 REMOTE_USER 环境变量的 JAVA 表示。这也允许复杂的登录设计，例如 Shibboleth 身份验证。通过 Web 服务器过滤对 servlet 容器的请求对于生产环境来说是一个很好的设计，通常使用 mod_jk 来做到这一点。
于 2012-11-05T11:04:04.800 回答
4
HttpServletRequest.login 未在会话中设置身份验证状态的问题已在 3.0.1 中得到修复。将 glassfish 更新到最新版本，您就完成了。
更新非常简单：
glassfishv3/bin/pkg set-authority -P dev.glassfish.org
glassfishv3/bin/pkg image-update
于 2010-05-20T19:06:09.103 回答