使用Filter控制页面的权限

提速持久层开发-基于spring的CRUD组件（开 ... | 重构代码

2007-06-29

众所周知，如果没有对页面进行权限控制，用户只要输入URL就能进入任何页面。

下面就演示一下最基本的使用Fiter来控制页面的权限。

1.写一个FILTER,用来判断用户是否有权限进入指定页面。

java 代码

import java.io.IOException;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import javax.servlet.http.HttpSession;
import org.apache.log4j.Logger;
import com.kiral.action.UserAction;
import com.kiral.model.User;
/*******************************************************************************
* 在过滤器中实现权限控制类，用来检验用户是否有权限进入当前页面
*
* @作者：kiral
* @日期：2006-6-24
* @版本: 1.0
******************************************************************************/
public class FilterServlet extends HttpServlet implements Filter {
private static final long serialVersionUID = 5162189625393315379L;
private static Logger LOG = Logger.getLogger(FilterServlet.class);
/**
* 配置允许的角色
*/
private String allowRole = null;
/**
* 重定向的URL
*/
private String redirectURl = null;
public void init(FilterConfig filterConfig) throws ServletException {
// 得到允许的角色,这个参数是由web.xml里的allowRole所指定
allowRole = filterConfig.getInitParameter("allowRole");
// 指定要重定向的页面
redirectURl = "/locker/index.html";
}
/**
* 在过滤器中实现权限控制
*/
public void doFilter(ServletRequest sRequest, ServletResponse sResponse,
FilterChain filterChain) throws IOException, ServletException {
HttpServletRequest request = (HttpServletRequest) sRequest;
HttpServletResponse response = (HttpServletResponse) sResponse;
HttpSession session = request.getSession();
// 如果回话中的用户为空,页面重新定向到登陆页面
if (session.getAttribute(UserAction.CURRENT_USER) == null) {
response.sendRedirect(redirectURl);
}
// 会话中存在用户，则验证用户是否存在当前页面的权限
else {
User user = (User) session.getAttribute(UserAction.CURRENT_USER);
try {
// 如果用户没有当前页的权限,页面重新定向到登陆页面
if ("0".equals(allowRole) || user.hasPower(allowRole)) {
filterChain.doFilter(sRequest, sResponse);
} else {
// 过滤器经过过滤后，过滤链继续传递请求和响应
response.sendRedirect(redirectURl);
}
} catch (Throwable e) {
LOG.error("权限过滤时候出现错误", e);
throw new RuntimeException("权限过滤时候出现错误", e);
}
}
}
public void destroy() {
}
}

在web.xml中配置要过滤的页面和能进入当前页面的角色

xml 代码

<filter>
<filter-name>UserAdminfilter-name>
<filter-class>com.emap.web.FilterServletfilter-class>
<init-param>
<param-name>allowRoleparam-name>
<param-value>1param-value>
init-param>
filter>
<filter-mapping>
<filter-name>UserAdminfilter-name>
<url-pattern>/jsp/security/*url-pattern>
filter-mapping>

上面配置的意思是说，当用户进入/jsp/security文件夹下的页面的时候，程序会进入FilterServlet 里的doFilter方法里，进行权限判断。

其他的页面权限控制：

1.你可以在filter里判断用户是否登录，然后需要特殊权限能访问的页面，在页面里进行判断。

2.推荐使用开源框架ACEGI来进行权限控制。

11:23
浏览 (4414)
评论 (20)
分类: java
进入论坛
相关推荐

fantasy 2008-06-28

恩，是面向切面。过滤器可以看成是一个切面。

xo_tobacoo 2008-06-24

我一直有个疑问：
不知道过滤器的处理能力是不是和面向方面中编程中的“方面”概念类似？

taelons 2008-04-04

这种需求的实现方法最完善的事acegi

6fish 2008-04-03

doFilter()方法中能否调用 XxxxManager中的doFind()方法进行数据库查询？

gaoran2008 2008-04-03

我个人认为用什么方式来控制你的用户权限，是取决你的业务需求。
一个简单的控制，随便写一下就好了。
中度的你用filter来控制就好了，不过要注意版本。
复杂的，结合开源的框架当然是最好不过的了。

寄生虫 2008-04-01

我就是用struts2拦截器控制的权限拦截，配合namespace和method查找出其操作权限，如果有权限再进行数据范围的查找。

Joo 2008-04-01

ninebirds 写道

我说以我看根本就没有必要要什么框架，用数据库查询就可以了，不要什么框的...
倒弄的很麻烦，权限其实做起来也还是容易的

那大约是你没有碰上什么复杂的业务需求了
我现在正在写一个公司层面通用的RBAC模型的权限服务，希望以EJB组件方式发布供以后多个EJB项目调用

Joo 2008-04-01

ltian 写道

jomper 写道

拦截器似乎更适合处理权限。

我也很想知道拦截器是什么，是不是其他框架的概念？如果是，那么权限就要依赖那个东东，这似乎不是很好。

在JSP/Servlet中有ServletContextListener监听器和filter过滤器，两者的作用域和作用方法是不一样的
如果说得是在EJB3中，那么也可以在method level使用拦截器在每个方法执行之前先进行一系列动作，从而一方面减少了相同代码的重复另外一方面保证了原有业务方法的单纯

ninebirds 2008-04-01

我说以我看根本就没有必要要什么框架，用数据库查询就可以了，不要什么框的...
倒弄的很麻烦，权限其实做起来也还是容易的

fantasy 2007-07-27

haoyunlyh 写道

如果权限做的复杂呢！这样的过滤器就不适用了吧

复杂的权限也可以用过滤器实现，只是需要增加配置信息而已。

liu5201314 2007-07-26

spring MVC 里有个拦截器,蛮好用的.

ltian 2007-07-26

jomper 写道

拦截器似乎更适合处理权限。

我也很想知道拦截器是什么，是不是其他框架的概念？如果是，那么权限就要依赖那个东东，这似乎不是很好。

laiseeme 2007-07-26

我想知道你们说的拦截器是什么?

haoyunlyh 2007-07-25

如果权限做的复杂呢！这样的过滤器就不适用了吧

fantasy 2007-07-25

jomper 写道

拦截器似乎更适合处理权限。

恩很对。我们目前就是使用拦截器控制的权限！

fantasy 2007-07-25

leeking 写道

难道你的当前用户是固定的吗?你写成了 UserAction.CURRENT_USER这种形式.

UserAction.CURRENT_USER 这个是当前用户的键，根据这个找到当前用户的值。

gs.liutong 2007-07-25

有一些问题：
1.因为继承了HttpServlet和Servlet API紧耦合。
2.要注意request dispatcher的情况，Servlet 2.3 规范中的过滤器只能过滤 Web 客户机和其所访问的指定 Web 资源之间的内容。2.4 规范消除了这个限制，通过增强filter和request dispatcher的配合。

jomper 2007-07-24

拦截器似乎更适合处理权限。

大老鼠上的小草原 2007-07-24

fantasy 写道：

众所周知，如果没有对页面进行权限控制，用户只要输入URL就能进入任何页面。

下面就演示一下最基本的使用Fiter来控制页面的权限。

1.写一个FILTER,用来判断用户是否有权限进入指定页面。

java 代码

import java.io.IOException;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import javax.servlet.http.HttpSession;
import org.apache.log4j.Logger;
import com.kiral.action.UserAction;
import com.kiral.model.User;
/*******************************************************************************
* 在过滤器中实现权限控制类，用来检验用户是否有权限进入当前页面
*
* @作者：kiral
* @日期：2006-6-24
* @版本: 1.0
******************************************************************************/
public class FilterServlet extends HttpServlet implements Filter {
private static final long serialVersionUID = 5162189625393315379L;
private static Logger LOG = Logger.getLogger(FilterServlet.class);
/**
* 配置允许的角色
*/
private String allowRole = null;
/**
* 重定向的URL
*/
private String redirectURl = null;
public void init(FilterConfig filterConfig) throws ServletException {
// 得到允许的角色,这个参数是由web.xml里的allowRole所指定
allowRole = filterConfig.getInitParameter("allowRole");
// 指定要重定向的页面
redirectURl = "/locker/index.html";
}
/**
* 在过滤器中实现权限控制
*/
public void doFilter(ServletRequest sRequest, ServletResponse sResponse,
FilterChain filterChain) throws IOException, ServletException {
HttpServletRequest request = (HttpServletRequest) sRequest;
HttpServletResponse response = (HttpServletResponse) sResponse;
HttpSession session = request.getSession();
// 如果回话中的用户为空,页面重新定向到登陆页面
if (session.getAttribute(UserAction.CURRENT_USER) == null) {
response.sendRedirect(redirectURl);
}
// 会话中存在用户，则验证用户是否存在当前页面的权限
else {
User user = (User) session.getAttribute(UserAction.CURRENT_USER);
try {
// 如果用户没有当前页的权限,页面重新定向到登陆页面
if ("0".equals(allowRole) || user.hasPower(allowRole)) {
filterChain.doFilter(sRequest, sResponse);
} else {
// 过滤器经过过滤后，过滤链继续传递请求和响应
response.sendRedirect(redirectURl);
}
} catch (Throwable e) {
LOG.error("权限过滤时候出现错误", e);
throw new RuntimeException("权限过滤时候出现错误", e);
}
}
}
public void destroy() {
}
}

在web.xml中配置要过滤的页面和能进入当前页面的角色

xml 代码

<filter>
<filter-name>UserAdminfilter-name>
<filter-class>com.emap.web.FilterServletfilter-class>
<init-param>
<param-name>allowRoleparam-name>
<param-value>1param-value>
init-param>
filter>
<filter-mapping>
<filter-name>UserAdminfilter-name>
<url-pattern>/jsp/security/*url-pattern>
filter-mapping>

上面配置的意思是说，当用户进入/jsp/security文件夹下的页面的时候，程序会进入FilterServlet 里的doFilter方法里，进行权限判断。

其他的页面权限控制：

1.你可以在filter里判断用户是否登录，然后需要特殊权限能访问的页面，在页面里进行判断。

2.推荐使用开源框架ACEGI来进行权限控制。

leeking 2007-07-23

难道你的当前用户是固定的吗?你写成了 UserAction.CURRENT_USER这种形式.

Kiral And Java

使用Filter控制页面的权限

评论

搜索本博客

博客分类

其他分类

最近加入圈子

链接

存档

最新评论

评论排行榜