欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页  >  IT编程

用定制标签库和配置文件实现对JSP页面元素的访问控制

程序员文章站 2024-02-24 09:49:28
       控制客户端访问是开发一个基于b/s的架构的系统的开发者必须考虑的问题。jsp或servlet规范的...

       控制客户端访问是开发一个基于b/s的架构的系统的开发者必须考虑的问题。jspservlet规范的基于配置文件的安全策略对资源的控制是以文件为单位的,即只可以定义某个视图全部可以或全部不能被访问。一个比较复杂的系统往往要要求对视图的一部分(如jsp页面里的一个按钮)提供访问控制,只允许被某种角色的用户访问。如果采用可编程的安全策略,因为对用户角色和操作的定义在开发时不能定义,而且这种策略加大了程序员的工作量,它可能不是一种好的办法。

       我采用定制标签库和和配置文件来解决这个问题:把要权限控制的jsp页面元素如button,作为标签的内容。为受保护的内容起一个唯一的名称,把这个名称作为标签的一个属性。某个角色对某个页面元素或一组页面元素是否有权限,在xml配置文件中描述。

 

       例如,下面的jsp页面有“详细”和“修改”两个按钮。

<%@ taglib uri="http://mytag" prefix="custtag" %>

<html>

<head>

<title>test</title>

</head>

<body >

<form name="form1" >

   <table width="600" border="0" cellspacing="0" cellpadding="2" >

      <tr>

       <td>

            <custtag:jspsecurity elementname="employeedetail" >

              <input type="button" name="detail"  value="详细" >

            </custtag:jspsecurity>

            <custtag:jspsecurity elementname="employeemodify" >

              <input type="button" name="modify"  value="修改" >

            </custtag:jspsecurity>

        </td>

      </tr>

</table>

<br>

</form>

</body>

 

       下面xml配置文件内容表示对角色为common的用户,只对名为employeedetail 的页面元素即“详细”按钮有权限,对角色为“admin”的用户,对名为employeedetail employeemodify的页面元素即两个按钮都有权限。

<?xml version="1.0" encoding="gb2312"?>

<security>

<htmlelement name="employeedetail" >

<rolename name="common" />

<rolename name="admin" />

</htmlelement>

<htmlelement name="employeemodify" >

<rolename name="admin" />

</htmlelement>

</security>

 

       定制标签类jspsecuritytag继承了bodytagsupport类。bodytagsupport有一个变量bodycontent指向起始标志和结束标志之间的内容。jspsecuritytag的私有静态变量rolelist保存从xml文件中取到角色和页面元素的对应集合,私有变量elementname对应页面元素的名称。当解析该定制标签时,首先先取到页面元素的名称,再取到当前用户的角色,如果角色有该页面元素的权限,就显示标签正文(即页面元素),否则不显示。

 

pagekage com.presentation.viewhelper.jspsecuritytag;

 

import javax.servlet.jsp.tagext.*;

import javax.servlet.jsp.*;

import java.util.*;

import org.xml.sax.*;

import org.xml.sax.helpers.*;

import org.w3c.dom.*;

import java.io.*;

import javax.xml.parsers.*;

 

public class jspsecuritytag extends bodytagsupport {

  //保存从xml文件中取到角色和页面元素的对应集合

  private static arraylist rolelist;

  //页面元素的名称

  private string elementname;

 

  public void setelementname(string str)

  {

    this.elementname=str;

  }

 

  public int doafterbody() throws jspexception{

    if(rolelist==null)

    {

      rolelist=getlist();

    }

    try{

        //如果认证通过就显示标签正文,否则跳过标签正文,就这么简单

        if(isauthentificated(elementname))

        {

          if(bodycontent != null){

            jspwriter out=bodycontent.getenclosingwriter();

            bodycontent.writeout(out);

          }else

          {

          }

        }

    }catch(exception e){

      throw new jspexception();

    }

    return skip_body;

  }

  //xml配置文件中取到角色和页面元素的对应,保存到静态的arraylist

  private arraylist getlist()

  {

    documentbuilderfactory dbf =

        documentbuilderfactory.newinstance();

    documentbuilder db = null;

    document doc=null;

    nodelist childlist = null;

    string elementname;

    string rolename;

    int index;

    arraylist thelist = new arraylist();

 

    try{

      db = dbf.newdocumentbuilder();

    }catch(exception e)

    {

      e.printstacktrace();

    }

    try{

      doc = db.parse(new file("security.xml"));

    }catch(exception e)

    {

      e.printstacktrace();

    }

    //读取页面元素列表

    nodelist elementlist = doc.getelementsbytagname("htmlelement");

    for(int i=0;i<elementlist.getlength();i++)

    {

      element name = ((element)elementlist.item(i));

      //页面元素的名称

      elementname = name.getattribute("name");

      //该页面元素对应的有权限的角色的列表

      nodelist rolnodelist = ((nodelist)name.getelementsbytagname("rolename"));

      for(int j=0;j<rolnodelist.getlength();j++)

      {

        //有权限的角色的名称

        //rolename = ((element)rolnodelist.item(j)).getnodevalue();

        rolename = ((element)rolnodelist.item(j)).getattribute("name");

        thelist.add(new elementandrole(elementname,rolename));

      }

    }

    return thelist;

  }

 

  //检查该角色是否有该页面元素的权限

  private boolean isauthentificated(string elementname)

  {

string rolename = "";

//在用户登陆时把该用户的角色保存到session中,这里只是直接从session中取用//户角色。

rolename=this.pagecontext.getsession().getattribute("rolename”);

// rolelist包含elementname属性为elementnamerolename属性为rolename//elementandrole对象,则该角色有该页面元素的权限

     if(rolelist.contains(new elementandrole(elementname,rolename)))

          {

               return true;

          }

    }

    return  false;

  }

  //表示角色和页面元素的对应的关系的内部类

  class elementandrole{

    string elementname;

    string rolename;

    public elementandrole(string elementname,string rolename)

    {

      this.elementname=elementname;

      this.rolename=rolename;

    }

    public boolean equals(object obj)

    {

      return(((elementandrole)obj).elementname.equals(this.elementname)&&((elementandrole)obj).rolename.equals(this.rolename));

    }

  }

}

在标签库能被jsp页面使用前,要做以下三个步骤

1、  jsp页面中包括一个taglib元素,确定需要加载到内存的标签库。前面的jsp文件的第一行:<%@ taglib uri="http://mytag" prefix="custtag" %>做的就是这件事。

2、  在配置文件web.xml中使用taglib元素确定tld文件的位置。在web.xml中增加:

  <taglib>

    <taglib-uri>http://mytag</taglib-uri>

    <taglib-location>

       /web-inf/mytag.tld

    </taglib-location>

  </taglib>

3tld文件必须使用taglib元素标识每个定制标签极其属性。

下面是使用这个标签库对应的tld文件

<?xml version="1.0" encoding="iso-8859-1" ?>

<!doctype taglib

 public "-//sun microsystems, inc.//dtd jsp tag library 1.1//en"

 "http://java.sun.com/j2ee/dtds/web-jsptaglibrary_1_1.dtd">

<taglib>

  <tlibversion>1.0</tlibversion>

  <jspversion>1.1</jspversion>

  <shortname>mytag</shortname>

  <uri/>

  <tag>

    <name>jspsecurity</name>

    <tagclass>com.presentation.viewhelper.jspsecuritytag</tagclass>

    <info>

       jspsecuritytag

    </info>

    <attribute>

       <name>elementname</name>

       <required>true</required>

       <rtexprvalue>true</rtexprvalue>

    </attribute>

  </tag>

</taglib>