基于 Struts 2 拦截器实现细粒度的基于角色的存取控制
2008-10-07 14:40
357 查看
本文介绍如何利用 Struts 2 拦截器来为 Java Web 应用添加应用管理的基于角色的存取控制(Role-Based
Access Control,RBAC)的设计和实现方法。相对于容器提供的存取控制,它能够更细粒度地控制资源,处理更加复杂的情况。
引言
Apache Struts 作为最成功的 MVC Web 框架早已得到了广泛的应用,但是其自身也暴露出不少缺点,从而引出了 Struts 2 。
Struts 2 摒弃了原来 Struts 1 的设计, 而是转向了 webwork2,并结合 Struts 已有的优点,试图打造出一个集众家所长的完美 Web
框架。 Struts 2 因此也具备 webwork2 中的一个非常重要的特性 - 拦截器 (Interceptor) 。拦截器会在 Action
执行之前和之后被执行(如下图),是一种典型 AOP 实现。
图 1. Struts 2
的体系结构
Struts 2 本身提供了一个
拦截器以方便开发人员来实现存取控制。但该拦截器的实现是建立在 J2EE
容器提供的存取控制机制之上的。容器提供的存取控制实现粒度较粗,往往无法满足多数应用的需求。在许多项目中,用户所应该具有的权限是由多种因素而决定,往往在不同的上下文中拥有不同的角色。例如在一个社交项目中,一个用户会在不同的社团里拥有不同的角色,如成员,管理员,来宾等。他的具体角色取决于当前所处社团的标识符。另外,用户的角色还和他所要操作的资源类型有关。比如,在这个社交站点中,用户可以创建自己的日程表,把这个日程表共享给其他用户或者委托给其他人管理。这样对日程表这种类型资源,就会有创建者,阅览者和管理者三种角色。在更复杂应用中,用户的角色可能还会受更多因素决定,这就要求存取控制要有更细的粒度,能够处理更加复杂的逻辑。
为了满足这个需求,在基于 Struts 2 的 Web 应用开发中,我们也可以利用拦截器来实现一个应用托管的基于角色的存取控制(RBAC,
Role-Based Access Control)系统, 让其能够管理更细粒度的资源。该系统在 Struts 2 的配置文件中定义 Action
可以由那些角色来调用,即对角色进行授权。拦截器在 Action 调用之前,对当前用户进行权限认证来决定 Action 是否应该被执行。
下面我们就基于 Hibernate+Spring+Struts2
框架来完成这个系统的实现。为了使系统结构更加清晰易于维护,我们将这个系统分为域模型层、持久层和服务层来实现。这种分层结构是目前 Web
开发广为使用的一种模式。
模型层实现
这系统中我们只需要一个实体 UserRole, 用来定义用户在不同的上下文中所具有的角色。在清单中,我们使用了 Java Persistence API
(Hibernate 从 3.2 开始已经开始支持 JPA)中提供的 JDK 5.0 注解来对模型到数据库表之间的映射进行定义。
清单 1.
注意这里边有两个比较特殊的字段
指资源的类型,
为“calendar”,
为角色的名字“admin”。当然,如果您的应用中不同类型资源都使用唯一的全局 ID,
DAO 层实现
代码清单 2 定义了对 UserRole 进行 CRUD 的 DAO 接口,代码清单 3 则是它的实现。通过
UserRoleDaoImpl 调用 EntityManager 来对 UserRole 进行持久化到数据库中。
清单 2
本文转自IBM Developerworks中国
请点击此处查看全文
Access Control,RBAC)的设计和实现方法。相对于容器提供的存取控制,它能够更细粒度地控制资源,处理更加复杂的情况。
引言
Apache Struts 作为最成功的 MVC Web 框架早已得到了广泛的应用,但是其自身也暴露出不少缺点,从而引出了 Struts 2 。
Struts 2 摒弃了原来 Struts 1 的设计, 而是转向了 webwork2,并结合 Struts 已有的优点,试图打造出一个集众家所长的完美 Web
框架。 Struts 2 因此也具备 webwork2 中的一个非常重要的特性 - 拦截器 (Interceptor) 。拦截器会在 Action
执行之前和之后被执行(如下图),是一种典型 AOP 实现。
图 1. Struts 2
的体系结构
Struts 2 本身提供了一个
org.apache.struts2.interceptor.RolesInterceptor
拦截器以方便开发人员来实现存取控制。但该拦截器的实现是建立在 J2EE
容器提供的存取控制机制之上的。容器提供的存取控制实现粒度较粗,往往无法满足多数应用的需求。在许多项目中,用户所应该具有的权限是由多种因素而决定,往往在不同的上下文中拥有不同的角色。例如在一个社交项目中,一个用户会在不同的社团里拥有不同的角色,如成员,管理员,来宾等。他的具体角色取决于当前所处社团的标识符。另外,用户的角色还和他所要操作的资源类型有关。比如,在这个社交站点中,用户可以创建自己的日程表,把这个日程表共享给其他用户或者委托给其他人管理。这样对日程表这种类型资源,就会有创建者,阅览者和管理者三种角色。在更复杂应用中,用户的角色可能还会受更多因素决定,这就要求存取控制要有更细的粒度,能够处理更加复杂的逻辑。
为了满足这个需求,在基于 Struts 2 的 Web 应用开发中,我们也可以利用拦截器来实现一个应用托管的基于角色的存取控制(RBAC,
Role-Based Access Control)系统, 让其能够管理更细粒度的资源。该系统在 Struts 2 的配置文件中定义 Action
可以由那些角色来调用,即对角色进行授权。拦截器在 Action 调用之前,对当前用户进行权限认证来决定 Action 是否应该被执行。
下面我们就基于 Hibernate+Spring+Struts2
框架来完成这个系统的实现。为了使系统结构更加清晰易于维护,我们将这个系统分为域模型层、持久层和服务层来实现。这种分层结构是目前 Web
开发广为使用的一种模式。
模型层实现
这系统中我们只需要一个实体 UserRole, 用来定义用户在不同的上下文中所具有的角色。在清单中,我们使用了 Java Persistence API
(Hibernate 从 3.2 开始已经开始支持 JPA)中提供的 JDK 5.0 注解来对模型到数据库表之间的映射进行定义。
清单 1.
@Entity public class UserRole { private Long id; private User user; private String objectType; private Long objectId; private String role; public UserRole(Long userId, String role, String objectType, Long objectId) { User user = new User(); user.setId(userId); this.user = user; this.role = role; this.objectType = objectType; this.objectId = objectId; } @Id @GeneratedValue(strategy = GenerationType.AUTO) public Long getId() { return id; } public void setId(Long id) { this.id = id; } @ManyToOne @JoinColumn(name = "userId", nullable = false) public User getUser() { return user; } public void setUser(User user) { this.user = user; } public String getObjectType() { return objectType; } public void setObjectType(String objectType) { this.objectType = objectType; } public Long getObjectId() { return objectId; } public void setObjectId(Long objectId) { this.objectId = objectId; } public String getRole() { return role; } public void setRole(String role) { this.role = role; } } |
objectType和
objectId,它们用来表明用户在具体哪个资源上拥有的角色。
objectType
指资源的类型,
objectId指资源的标识。比如我们要将用户 Mike 加为某个日程表的管理员,则表中新增记录的
user字段为 Mike 在 user 表中的 ID,
objectType
为“calendar”,
objectID为这个日程表 ID,
role
为角色的名字“admin”。当然,如果您的应用中不同类型资源都使用唯一的全局 ID,
objectType这个字段也可以省略。
DAO 层实现
代码清单 2 定义了对 UserRole 进行 CRUD 的 DAO 接口,代码清单 3 则是它的实现。通过
@PersistenceContext注解来让容器注入 JPA 中的实体管理器 EntityManager 。
UserRoleDaoImpl 调用 EntityManager 来对 UserRole 进行持久化到数据库中。
清单 2
本文转自IBM Developerworks中国
请点击此处查看全文
相关文章推荐
- 基于 Struts 2 拦截器实现细粒度的基于角色的存取控制
- (转)基于 Struts 2 拦截器实现细粒度的基于角色的存取控制
- 基于 Struts 2 拦截器实现细粒度的基于角色的存取控制
- 基于 Struts 2 拦截器实现细粒度的基于角色的存取控制
- (转)基于 Struts 2 拦截器实现细粒度的基于角色的存取控制
- 基于 Struts 2 拦截器实现细粒度的基于角色的存取控制
- 基于 Struts 2 拦截器实现细粒度的基于角色的存取控制
- 基于 Struts 2 拦截器实现细粒度的基于角色的存取控制
- 基于 Struts 2 拦截器实现细粒度的基于角色的权限认证实现
- 在struts2.1中使用注解和拦截器实现权限细粒度控制
- 在struts2.1中使用注解和拦截器实现权限细粒度控制
- 在struts2.3.4.1中使用注解、反射、拦截器实现基于方法的权限控制
- AngularJs实现基于角色的前端访问控制
- AngularJs基于角色的前端访问控制的实现
- Struts 拦截器权限控制【通过拦截器实现登录后跳转到登录前页面】
- 利用 AOP 实现 .NET 上完整的基于角色的访问控制(RBAC)模型{zhuang}
- ASP.NET MVC 中如何实现基于角色的权限控制
- 基于角色-功能-资源的权限控制模型的设计与实现
- ASP.NET MVC 中实现基于角色的权限控制的处理方法
- ASP.NET MVC 中如何实现基于角色的权限控制