Выполнение аутентификации пользователя в Java EE / JSF с использованием j_security_check
-
18-09-2019 - |
Вопрос
Мне интересно, каков текущий подход к аутентификации пользователя для веб-приложения, использующего JSF 2.0 (и если какие-либо компоненты существуют) и основные механизмы Java EE 6 (вход в систему / проверка разрешений / выходы из системы) с информацией о пользователе, хранящейся в объекте JPA.Руководство Oracle Java EE по этому вопросу немного скудно (обрабатывает только сервлеты).
Это без используя совершенно другой фреймворк, такой как Spring-Security (acegi) или Seam, но, надеюсь, стараясь придерживаться новой платформы Java EE 6 (веб-профиль), если это возможно.
Решение
После поиска в Интернете и испробования множества различных способов, вот что я бы предложил для аутентификации Java EE 6:
Настройте область безопасности:
В моем случае у меня были пользователи в базе данных.Итак, я последовал этому сообщению в блоге, чтобы создать область JDBC, которая могла бы аутентифицировать пользователей на основе имени пользователя и паролей с MD5-хэшем в моей таблице базы данных:
http://blog.gamatam.com/2009/11/jdbc-realm-setup-with-glassfish-v3.html
Примечание:в этом сообщении говорится о пользователе и таблице групп в базе данных.У меня был класс User с атрибутом перечисления UserType, сопоставленным с базой данных через аннотации javax.persistence.Я настроил область с той же таблицей для пользователей и групп, используя столбец UserType в качестве столбца group, и это сработало нормально.
Используйте аутентификацию в форме:
Продолжая следовать приведенному выше сообщению в блоге, настройте свои web.xml и sun-web.xml, но вместо использования БАЗОВОЙ аутентификации используйте ФОРМУ (на самом деле, не имеет значения, какую из них вы используете, но я в итоге использовал ФОРМУ).Используйте стандартный HTML , а не JSF .
Затем используйте совет BalusC выше о ленивой инициализации информации о пользователе из базы данных.Он предложил сделать это в управляемом компоненте, извлекающем принципала из контекста faces.Вместо этого я использовал сессионный компонент с отслеживанием состояния для хранения информации о сеансе для каждого пользователя, поэтому я ввел контекст сеанса:
@Resource
private SessionContext sessionContext;
С помощью принципала я могу проверить имя пользователя и, используя EJB Entity Manager, получить информацию о пользователе из базы данных и сохранить в моем SessionInformation
EJB.
Выход:
Я также огляделся в поисках наилучшего способа выхода из системы.Лучший вариант, который я нашел, - это использование сервлета:
@WebServlet(name = "LogoutServlet", urlPatterns = {"/logout"})
public class LogoutServlet extends HttpServlet {
@Override
protected void service(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
HttpSession session = request.getSession(false);
// Destroys the session for this user.
if (session != null)
session.invalidate();
// Redirects back to the initial page.
response.sendRedirect(request.getContextPath());
}
}
Хотя мой ответ действительно запоздал, учитывая дату вопроса, я надеюсь, что это поможет другим людям, которые попали сюда из Google, так же, как и я.
Ciao,
Vítor Souza
Другие советы
Я полагаю, вы хотите аутентификация на основе формы используя дескрипторы развертывания и j_security_check
.
Вы также можете сделать это в JSF, просто используя те же предопределенные имена полей j_username
и j_password
как показано в руководстве.
Например.
<form action="j_security_check" method="post">
<h:outputLabel for="j_username" value="Username" />
<h:inputText id="j_username" />
<br />
<h:outputLabel for="j_password" value="Password" />
<h:inputSecret id="j_password" />
<br />
<h:commandButton value="Login" />
</form>
Вы могли бы выполнить отложенную загрузку в User
добытчик, чтобы проверить, есть ли User
уже вошел в систему, и если нет, то проверьте, работает ли Principal
присутствует в запросе, и если это так, то получите User
связанный с j_username
.
package com.stackoverflow.q2206911;
import java.io.IOException;
import java.security.Principal;
import javax.faces.bean.ManagedBean;
import javax.faces.bean.SessionScoped;
import javax.faces.context.FacesContext;
@ManagedBean
@SessionScoped
public class Auth {
private User user; // The JPA entity.
@EJB
private UserService userService;
public User getUser() {
if (user == null) {
Principal principal = FacesContext.getCurrentInstance().getExternalContext().getUserPrincipal();
if (principal != null) {
user = userService.find(principal.getName()); // Find User by j_username.
}
}
return user;
}
}
Тот самый User
очевидно, что он доступен в JSF EL с помощью #{auth.user}
.
Чтобы выйти из системы, выполните HttpServletRequest#logout()
(и установить User
до нуля!).Вы можете разобраться с HttpServletRequest
в JSF by ExternalContext#getRequest()
.Вы также можете просто полностью аннулировать сеанс.
public String logout() {
FacesContext.getCurrentInstance().getExternalContext().invalidateSession();
return "login?faces-redirect=true";
}
Что касается остатка (определения пользователей, ролей и ограничений в дескрипторе развертывания и области), просто следуйте руководству по Java EE 6 и документации servletcontainer обычным способом.
Обновить:вы также можете использовать новый сервлет 3.0 HttpServletRequest#login()
чтобы выполнить программный вход в систему вместо использования j_security_check
который сам по себе может быть недоступен диспетчеру в некоторых servletcontainers.В этом случае вы можете использовать полноценную форму JSF и компонент с username
и password
свойства и login
метод, который выглядит следующим образом:
<h:form>
<h:outputLabel for="username" value="Username" />
<h:inputText id="username" value="#{auth.username}" required="true" />
<h:message for="username" />
<br />
<h:outputLabel for="password" value="Password" />
<h:inputSecret id="password" value="#{auth.password}" required="true" />
<h:message for="password" />
<br />
<h:commandButton value="Login" action="#{auth.login}" />
<h:messages globalOnly="true" />
</h:form>
И этот управляемый компонент с областью видимости, который также запоминает первоначально запрошенную страницу:
@ManagedBean
@ViewScoped
public class Auth {
private String username;
private String password;
private String originalURL;
@PostConstruct
public void init() {
ExternalContext externalContext = FacesContext.getCurrentInstance().getExternalContext();
originalURL = (String) externalContext.getRequestMap().get(RequestDispatcher.FORWARD_REQUEST_URI);
if (originalURL == null) {
originalURL = externalContext.getRequestContextPath() + "/home.xhtml";
} else {
String originalQuery = (String) externalContext.getRequestMap().get(RequestDispatcher.FORWARD_QUERY_STRING);
if (originalQuery != null) {
originalURL += "?" + originalQuery;
}
}
}
@EJB
private UserService userService;
public void login() throws IOException {
FacesContext context = FacesContext.getCurrentInstance();
ExternalContext externalContext = context.getExternalContext();
HttpServletRequest request = (HttpServletRequest) externalContext.getRequest();
try {
request.login(username, password);
User user = userService.find(username, password);
externalContext.getSessionMap().put("user", user);
externalContext.redirect(originalURL);
} catch (ServletException e) {
// Handle unknown username/password in request.login().
context.addMessage(null, new FacesMessage("Unknown login"));
}
}
public void logout() throws IOException {
ExternalContext externalContext = FacesContext.getCurrentInstance().getExternalContext();
externalContext.invalidateSession();
externalContext.redirect(externalContext.getRequestContextPath() + "/login.xhtml");
}
// Getters/setters for username and password.
}
Таким образом, User
доступен в JSF EL по #{user}
.
Следует отметить, что это возможность полностью оставить проблемы с аутентификацией на переднем контроллере, напримервеб-сервер Apache и вместо этого вычислите HttpServletRequest.getRemoteUser(), который является представлением JAVA для переменной окружения REMOTE_USER .Это позволяет также использовать сложные схемы входа в систему, такие как аутентификация по Shibboleth.Фильтрация запросов к контейнеру сервлетов через веб-сервер - хороший дизайн для производственных сред, часто для этого используется mod_jk.
Проблема HttpServletRequest.login не устанавливает состояние аутентификации в сеансе было исправлено в версии 3.0.1.Обновите glassfish до последней версии, и все готово.
Обновление довольно простое:
glassfishv3/bin/pkg set-authority -P dev.glassfish.org
glassfishv3/bin/pkg image-update