EJB3.0开发指南:事务与安全

不象在EJB2.X中，需要在部署文件中部署事务。EJB3.0通过注释就为指定的类或者方法提供事务支持。在EJB3.0的预览版规范中，指明使用TransactionAttribute作为注释，TransactionAttribute的声明如下

@Target({METHOD, TYPE}) @Retention(RUNTIME) public @interface TransactionAttribute { TransactionAttributeType value() default REQUIRED; }

TransactionAttributeType是一个枚举类型：

public enum TransactionAttributeType { MANDATORY, REQUIRED, REQUIRESNEW, SUPPORTS, NOTSUPPORTED, NEVER }

可以看出TransactionAttribute既可以为类做注释，又可以为方法做注释。
TransactionAttributeType的几个枚举值分别代表：

MANDATORY	此属性要求你的事务必须在运行，否则会返回调用者一个异常。
REQUIRED	如果你希望你的EJB总是运行在事务中，你应该使用这个模式。如果事务正在运行，将把你的EJB组件加到事务中，如果没有事务，则新增加一个事务。
REQUIRESNEW	总是为你的EJB组件新起一个事务。
SUPPORTS	如果事务存在，则将你的EJB增加到事务中，如果没有事务，则不会运行在事务中。
NOTSUPPORTED	你的EJB组件将不能使用事务。假设你的组件B设置了这个属性，组件A使用了事务，当A调用B时,A的事务将被挂起，B也不能执行事务操作，当B完成后，A的事务才被激活。
NEVER	你的EJB组件将不能使用事务。假设你的组件B设置了这个属性，当客户端在事务中调用这个B时，容器将抛出一个异常。

在JBOSS中，此注释做了简化，TransactionAttribute简化为Tx, TransactionAttributeType简化为TxType。

MethodPermissions和Unchecked是安全注释。对JSR-181做了简化。这两个注释都可以用在类和方法上。

MethodPermissions用来指定可以允许使用此类或者此方法的角色的列表：
@MethodPermissions
(
{“role1”,”role2”， “role3”}
)

Unchecked指定的方法和类将不做权限的检查。

在Eclipse中导入本文提供的例子Security。
这个例子和无状态会话Bean的例子类似，只不过为业务方法加上了事务或权限。
这个例子主要有7个文件：
Counter.java：业务接口。
CounterBean.java：业务实现类。将来我们开发的EJB也都是这样命名（在接口名上加上Bean）。
Client.java：测试EJB的客户端类。
jndi.properties：jndi属性文件，提供访问jdni的基本配置属性。
Build.xml：ant 配置文件，用以编译、发布、测试、清除EJB。
roles.properties：角色设置
users.properties：用户设置
下面针对每个文件的内容做一个介绍。

Counter.java

package com.kuaff.ejb3.security; import javax.ejb.Remote; @Remote public interface Counter { public int add(int i); public int getNumber(); public int getValue(); }

这个接口很简单，和无状态会话Bean相同，JBOSS默认使用接口的全称作为它的JNDI名。在上面的例子中，它的全称可以通过Counter.class.getName()得到。

CounterBean.java

package com.kuaff.ejb3.security; import org.jboss.ejb3.security.SecurityDomain; import javax.ejb.MethodPermissions; import javax.ejb.Stateless; import javax.ejb.Tx; import javax.ejb.TxType; import javax.ejb.Unchecked; @Stateless @SecurityDomain("kuaff") public class CounterBean implements Counter { private int number = 0; @Unchecked @Tx(TxType.REQUIRESNEW) public int add(int i) { number += i; return number; } @MethodPermissions({"manager"}) public int getNumber() { return number; } @MethodPermissions({"user"}) public int getValue() { return number; } }

这个是计数器的实现类。在这个类中SecurityDomain是JBOSS添加的注释，用以指定JAAS的仓库。设定为other，则采用属性文件的方式进行验证。在我们这个例子中，你可以看到两个新的文件users.prperties和roles.properties，分别存放用户和角色信息。Add方法支持事务，并且不做权限的检查。getNumber需要拥有manager角色的用户才能访问，getValue需要拥有user角色的用户才能访问。
Client.java

package com.kuaff.ejb3.security; import javax.naming.InitialContext; import javax.naming.NamingException; import org.jboss.security.SecurityAssociation; import org.jboss.security.SimplePrincipal; public class Client { public static void main(String[] args) { InitialContext ctx; try { ctx = new InitialContext(); Counter counter = (Counter) ctx.lookup(Counter.class.getName()); SecurityAssociation.setPrincipal(new SimplePrincipal("smallnest")); System.out.println("使用manager角色访问"); SecurityAssociation.setCredential("asd#$45Gas5".toCharArray()); try { System.out.println("当前的number:" + counter.getNumber()); } catch (SecurityException ex) { System.out.println("安全性异常001"); } System.out.println("访问其他角色才能访问的方法"); try { System.out.println("当前的number:" + counter.getValue()); } catch (SecurityException ex) { System.out.println("安全性异常002"); } } catch (NamingException e) { e.printStackTrace(); } } }

这个类用来测试我们发布的计数器EJB。首先通过
ctx = new InitialContext();得到上下文，然后通过lookup查找计数器，然后设定用户和密码，执行计数器的方法，一旦没有访问权限，将抛出异常。

请运行{$JBOSS_HOME}/bin目录下的run.bat: run –c all,启动JBOSS。
在Eclipse的Ant视图中执行ejbjar target。或者在命令行下，进入到此工程目录下，执行ant ejbjar,将编译打包发布此EJB。
在Eclipse的Ant视图中执行run target。或者在命令行下，进入到此工程目录下，执行ant run,测试这个EJB。