隨筆-11 
評論-16 
文章-1 
trackbacks-0

          
	

          

          
	
					


          
	
	

          第二章 登錄及 URL攔截
          

           
          

           
          

          本章講解如何控制用戶登錄，如何攔截 URL 進(jìn)行權(quán)限驗證。
          

           
          

          通常，項目有這樣的需求：
          

           
          

            
    
          1. 某些頁面沒有登錄可以查看；
            2. 
    
          2. 某些頁面必須登錄才能查看，如果沒有登錄，轉(zhuǎn)移到登錄頁面，成功登錄后再轉(zhuǎn)移回來；
            3. 
    
          3. 某些頁面必須驗證當(dāng)前登錄用戶是否具有請求該頁面的權(quán)限，如果沒有轉(zhuǎn)移到權(quán)限不足提示界面。
            4. 

          

           
          

          解決思路
          

          控制登錄
          

          控制用戶登錄，采用 Filter 機(jī)制，不妨給該 Filter 起名為 LoginFilter 。
          

          怎樣控制哪些頁面驗證是否登錄，哪些又不需要呢？配置 web.xml ， filter 元素的 url-pattern 屬性就可以了。
          

          如：
          

          

          

          Xml代碼 
          

          

            
    
          1. <filter-mapping>  
            2. 
    
          2.               <filter-name>LoginFilter</filter-name>  
            3. 
    
          3.               <url-pattern>/secretDir/*</url-pattern>  
            4. 
    
          4. </filter-mapping>  
            5. 
    
          5.   
            6. 
    
          6. <filter-mapping>  
            7. 
    
          7.               <filter-name>LoginFilter</filter-name>  
            8. 
    
          8.               <url-pattern>/anotherDir/secretDir/*</url-pattern>  
            9. 
    
          9. </filter-mapping>  
            10. 

          

          
 

           
          

           
          

          LoginFilter 檢查 session 是否有用戶，如果沒有轉(zhuǎn)移到登錄頁面；否則繼續(xù)執(zhí)行。
          

          偽代碼如下：
          

          

          

          Java代碼 
          

          

            
    
          1. if( session.getAttribute( “user” )==null ) {  
            2. 
    
          2.        // 將用戶期望請求頁面保存到session，供用戶登錄成功后，自動跳轉(zhuǎn)使用  
            3. 
    
          3.        String requestUrl=…;  
            4. 
    
          4.        session.setAttribute( “requestUrl”, requestUrl );   
            5. 
    
          5.   
            6. 
    
          6.        // 轉(zhuǎn)移到登錄界面  
            7. 
    
          7.        redirect( loginPage, request, response );  
            8. 
    
          8.        return;  
            9. 
    
          9. }  
            10. 
    
          10.   
            11. 
    
          11. filter.doChain( request, response );  
            12. 

          

          
 

           
          

           
          

          LoginFilter 還可以更進(jìn)一步，處理用戶提交用戶名和密碼后驗證。只要告訴 LoginFilter 用戶名是哪個 parameter name ，密碼是哪個parameter name ，密碼采用了什么加密算法，就可以了。
          

          偽代碼如下：
          

          

          

          Java代碼 
          

          

            
    
          1. String username=request.getParameter( usernameParameterName );  
            2. 
    
          2. String password=request.getParameter( passwordParameterName );  
            3. 
    
          3. String secretPassword=encrypt(encryptMethod, password );  
            4. 
    
          4.    
            5. 
    
          5.   
            6. 
    
          6. User user=userManager.checkUser( username, secretPassword );  
            7. 
    
          7. if( user==null ) {  
            8. 
    
          8.        // 驗證不通過，繼續(xù)轉(zhuǎn)移到登錄界面  
            9. 
    
          9.        redirect( loginPage, request, response );  
            10. 
    
          10. } else {  
            11. 
    
          11.        // 驗證通過，將用戶保存到session，然后繼續(xù)處理  
            12. 
    
          12.        session.removeAttribute( “requestUrl” );  
            13. 
    
          13.        session.setAttribute( “user”, user );  
            14. 
    
          14.        filter.doChain( request, response );  
            15. 
    
          15. }  
            16. 

          

          
 

           
          

           
          

          細(xì)心的朋友，會問轉(zhuǎn)移到原來期望請求的頁面，怎么沒有看到邏輯呢？
          

          是的，可以在該 filter 里面 redirect 。但我更傾向于在登錄界面的 action 做處理。偽代碼如下：
          

          

          

          Html代碼 
          

          

            
    
          1. <%  
            2. 
    
          2. String url=defaultLoginPage;  
            3. 
    
          3. String requestUrl= (String)session.getAttribute( “requestUrl” );  
            4. 
    
          4. if(requestUrl!=null ) {  
            5. 
    
          5.     url= requestUrl;  
            6. 
    
          6. }  
            7. 
    
          7. %>  
            8. 
    
          8. <form method=”post” action=”<%=url%>”>  
            9. 
    
          9. …  
            10. 
    
          10. </form>  
            11. 

          

          
 

           
          

          攔截 url 做權(quán)限判斷
          

          對于 web 系統(tǒng)，權(quán)限表有這么幾個字段：標(biāo)識、名稱、描述、對應(yīng) url 。
          

          那么對于 url 請求，可以在權(quán)限表進(jìn)行查找，查看該 url 是否有個對應(yīng)的權(quán)限。如果有，說明該 url 需要具有沒個權(quán)限才能訪問，那么通過 RBAC 算法進(jìn)行判斷即可。如果在權(quán)限表沒有找到對應(yīng)記錄，說明該 url 不需要進(jìn)行權(quán)限驗證。
          

           
          

          該需求比較簡單，也可以采用 Filter 機(jī)制，不妨取名 UrlAclFilter 。
          

           
          

          唯一需要注意的地方是：權(quán)限表對應(yīng)的 url 可能帶有參數(shù)。比如 customreManager?op=add 是增加客戶權(quán)限， customerManager?op=delete 是刪除客戶權(quán)限。
          

           
          

          偽代碼如下：
          

          

          

          Java代碼 
          

          

            
    
          1. if( needPrivilegeCheck( request ) ) {  
            2. 
    
          2.     // 需要做權(quán)限判斷  
            3. 
    
          3.     if( session.getAttribute( “user” ) ==null ) {  
            4. 
    
          4.         // 用戶還沒有登錄，轉(zhuǎn)移到登錄界面  
            5. 
    
          5.         redirect( loginPage, request, response );  
            6. 
    
          6.         return;  
            7. 
    
          7.     } else {  
            8. 
    
          8.         if( userManager.hasPrivilege( user, privilegeId ) ) {  
            9. 
    
          9.             filter.doChain( request, response );  
            10. 
    
          10.             return;  
            11. 
    
          11.         } else {  
            12. 
    
          12.             redirect( forbiddenHintPage, request, response );  
            13. 
    
          13.             return;  
            14. 
    
          14.         }  
            15. 
    
          15.     }  
            16. 
    
          16. }  
            17. 

          

          
 

           
          

          基礎(chǔ)數(shù)據(jù)庫表
          

          用戶信息表，保存用戶信息還有密碼等，有的系統(tǒng)會對密碼進(jìn)行加密保存到數(shù)據(jù)庫，而不是以明文的形式保存到數(shù)據(jù)庫。
          

           
          

          權(quán)限表，該表基本有這么幾個字段：標(biāo)識、名稱、描述、指向 url 、 target 。 target 表示點擊該 Url 時在那個窗口顯示。標(biāo)識為主鍵。
          

          比如下圖所示 frameset ，權(quán)限菜單 target 屬性應(yīng)該是： MAIN
          

          

          角色表，該表字段：標(biāo)識、名稱、描述；標(biāo)識為主鍵。
          

          權(quán)限－角色關(guān)系表，該表有字段：角色標(biāo)識、權(quán)限標(biāo)識；角色標(biāo)識和權(quán)限標(biāo)識為復(fù)合主鍵。
          

          用戶－角色關(guān)系表，該表有字段：用戶標(biāo)識、角色標(biāo)識；用戶標(biāo)識和角色標(biāo)識為復(fù)合主鍵。
          

           
          

          如果使用 Metadmin
          

          使用 Metadmin ，只要在 web.xml 里面，配置 LoginFilter 和 UrlAclFilter 即可。
          

          （在 www.metadmin.com， 免費下載90天試用版）
          

          下面就是一個示例配置，對 metadmin/demo 目錄進(jìn)行登錄和 url 攔截權(quán)限驗證，登錄頁面是 metadmin/demo/login.jsp 頁面。
          

          具體參數(shù)意義可查看 JAVADOC ： http://www.metadmin.com/doc/javadoc/index.html LoginFilter 和 UrlAclFilter 。
          

           
          

          配置示例：
          

          

          

          Xml代碼 
          

          

            
    
          1.       <filter>  
            2. 
    
          2.     <filter-name>metadmin/LoginFilter</filter-name>  
            3. 
    
          3.     <filter-class>org.back.webFilter.LoginFilter</filter-class>  
            4. 
    
          4.     <init-param>  
            5. 
    
          5.         <param-name>loginPage</param-name>  
            6. 
    
          6.         <param-value>/metadmin/demo/login.jsp</param-value>  
            7. 
    
          7.     </init-param>  
            8. 
    
          8.     <init-param>  
            9. 
    
          9.         <param-name>uniqueFieldsParams</param-name>  
            10. 
    
          10.         <param-value>loginName</param-value>  
            11. 
    
          11.     </init-param>  
            12. 
    
          12.     <init-param>  
            13. 
    
          13.         <param-name>passwordParam</param-name>  
            14. 
    
          14.         <param-value>password</param-value>  
            15. 
    
          15.     </init-param>  
            16. 
    
          16.     <!--init-param>  
            17. 
    
          17.         <param-name>encryptMethod</param-name>  
            18. 
    
          18.         <param-value>shahex</param-value>  
            19. 
    
          19.     </init-param-->  
            20. 
    
          20. </filter>  
            21. 
    
          21. <filter>  
            22. 
    
          22.     <filter-name>metadmin/UrlAclFilter</filter-name>  
            23. 
    
          23.     <filter-class>org.back.webFilter.UrlAclFilter</filter-class>  
            24. 
    
          24.     <init-param>  
            25. 
    
          25.         <param-name>loginPage</param-name>  
            26. 
    
          26.         <param-value>/metadmin/demo/login.jsp</param-value>  
            27. 
    
          27.     </init-param>  
            28. 
    
          28.     <init-param>  
            29. 
    
          29.         <param-name>denyPage</param-name>  
            30. 
    
          30.         <param-value>/metadmin/demo/noPrivilege.jsp</param-value>  
            31. 
    
          31.     </init-param>  
            32. 
    
          32. </filter>  
            33. 
    
          33.   
            34. 
    
          34.      <filter-mapping>  
            35. 
    
          35.     <filter-name>metadmin/LoginFilter</filter-name>  
            36. 
    
          36.     <url-pattern>/metadmin/demo/*</url-pattern>  
            37. 
    
          37. </filter-mapping>  
            38. 
    
          38. <filter-mapping>  
            39. 
    
          39.     <filter-name>metadmin/UrlAclFilter</filter-name>  
            40. 
    
          40.     <url-pattern>/metadmin/demo/*</url-pattern>  
            41. 
    
          41. </filter-mapping>  
            42. 

          

          
 

           
          
          

	
          posted on 2009-06-16 15:39 細(xì)粒度權(quán)限管理 閱讀(3009) 評論(4)  編輯  收藏  
          

          







          
	    
    


          
評論:

          
	

		
          
			
          
			# re: 《玩轉(zhuǎn)細(xì)粒度權(quán)限管理》 二，登錄及URL攔截
				2009-06-17 00:42 | 心夢帆影
          
				
          細(xì)精度權(quán)限管理,這個主題不錯,支持一下.  回復(fù)  更多評論
            
          
			
          
			
			
		
          
	
		
          
			
          
			# re: 《玩轉(zhuǎn)細(xì)粒度權(quán)限管理》 二，登錄及URL攔截
				2009-06-17 08:12 | 細(xì)粒度權(quán)限管理
          
				
          @心夢帆影
          謝謝支持！還會有后繼文章的。歡迎關(guān)注！  回復(fù)  更多評論
            
          
			
          
			
			
		
          
	
		
          
			
          
			# re: 《玩轉(zhuǎn)細(xì)粒度權(quán)限管理》 二，登錄及URL攔截[未登錄]
				2009-06-17 11:08 | Sniper
          
				
          關(guān)注中！  回復(fù)  更多評論
            
          
			
          
			
			
		
          
	
		
          
			
          
			# re: 《玩轉(zhuǎn)細(xì)粒度權(quán)限管理》 二，登錄及URL攔截
				2009-06-23 10:03 | 找個美女做老婆
          
				
           Java樂園技術(shù)交流，http://www.javaly.cn
           2群群號:28840096  回復(fù)  更多評論
            
          
			
          
			
			
		
          
	








          





          


          

	
          
		
          
				
		
	
		
          
		
		
          只有注冊用戶登錄后才能發(fā)表評論。
          
		
          
			
		
          
			
		
          
		
		
          
		


          

		          		
		
          
		
          			
		
		
		
		
          
		
          
		
		
          
		
          
			網(wǎng)站導(dǎo)航:
		
		
          
		
          
			
		
          	
		
          
			 
		
          
		
          
			
		
          
		
          
			
				
		
          		
	
          	

          



          

				

          







    







          
        
	




主站蜘蛛池模板：
雷波县|
清河县|
安化县|
安义县|
科技|
兴国县|
花垣县|
上蔡县|
开封市|
黄冈市|
贞丰县|
牙克石市|
彰化市|
新乡市|
镇安县|
泊头市|
惠水县|
建平县|
柘荣县|
中江县|
迭部县|
交城县|
安达市|
苍南县|
东山县|
富阳市|
谷城县|
电白县|
阳东县|
荆州市|
兰溪市|
三门县|
丰城市|
和顺县|
井陉县|
盐池县|
宜都市|
呼图壁县|
重庆市|
丹阳市|
遵义市|