Основная безопасность в JSF

В ядре JSF нет встроенных функций аутентификации, кроме возможности использовать такие вещи, как атрибуты, отображаемые компонентом , , ориентированные на безопасность на основе ролей.

По умолчанию , приложение JSF полагается на те же механизмы безопасности, управляемые контейнером, что и веб-компонент, который его содержит ( учебник JEE5 ). Сторонние фреймворки, такие как Seam , могут предоставить альтернативы.

Если вы хотите добавить собственную безопасность приложения, фильтр сервлетов является одним из более простых механизмов.

Этот фильтр защищает ресурсы в каталоге с ограниченным доступом , как определено в web.xml :

  <filter>
    <filter-name>AuthenticationFilter</filter-name>
    <filter-class>restricted.AuthenticationFilter</filter-class>
  </filter>
  <filter-mapping>
    <filter-name>AuthenticationFilter</filter-name>
    <url-pattern>/restricted/*</url-pattern>
  </filter-mapping>

Реализация класса фильтра:

public class AuthenticationFilter implements Filter {
  private FilterConfig config;

  public void doFilter(ServletRequest req, ServletResponse resp,
      FilterChain chain) throws IOException, ServletException {
    if (((HttpServletRequest) req).getSession().getAttribute(
        AuthenticationBean.AUTH_KEY) == null) {
      ((HttpServletResponse) resp).sendRedirect("../restricted_login.faces");
    } else {
      chain.doFilter(req, resp);
    }
  }

  public void init(FilterConfig config) throws ServletException {
    this.config = config;
  }

  public void destroy() {
    config = null;
  }
}

Компонент входа в систему, определенный в faces-config.xml :

public class AuthenticationBean {
  public static final String AUTH_KEY = "app.user.name";

  private String name;
  public String getName() { return name; }
  public void setName(String name) { this.name = name; }

  public boolean isLoggedIn() {
    return FacesContext.getCurrentInstance().getExternalContext()
        .getSessionMap().get(AUTH_KEY) != null;
  }

  public String login() {
    FacesContext.getCurrentInstance().getExternalContext().getSessionMap().put(
        AUTH_KEY, name);
    return "secret";
  }

  public String logout() {
    FacesContext.getCurrentInstance().getExternalContext().getSessionMap()
        .remove(AUTH_KEY);
    return null;
  }
}

Форма входа в JSF на странице limited_login.jsp :

  <f:view>
    <p><a href="restricted/secret.faces">try to go to secret
    page</a></p>
    <h:form>
    Username:
    <h:panelGroup rendered="#{not authenticationBean.loggedIn}">
        <h:inputText value="#{authenticationBean.name}" />
        <h:commandButton value="login"
          action="#{authenticationBean.login}" />
      </h:panelGroup>
      <h:commandButton value="logout"
        action="#{authenticationBean.logout}"
        rendered="#{authenticationBean.loggedIn}" />
    </h:form>
  </f:view>

(URL / механизм перенаправления был выбран для краткости, а не для каких-либо рекомендаций; дополнительные параметры см. В Servlet API ).