Filter过滤器简单应用( 接口访问控制 )

一、描述

      在提供安卓、IOS客户端接口时，可以在登陆接口分配Session给客户端，用于判断其他接口是否是合法访问，以避免将所有的接口都暴露在web中可以由路径直接访问。但是最近的一个项目中的移动接口并没有给客户端分配Session，所以所有的接口都可以通过路径直接访问，这种方式会存在一定的风险性，只能通过接口对参数进行更精确的验证。一般情况下为方便管理会将所有接口单独放到WebRoot下单独一个文件夹目录下如WebRoot/appreq。改目录下的接口可直接被访问，如：http://localhost:8080/WebTest/appreq/agreement.jsp ;所以有必要对appreq目录下的jsp做访问限制。因此想到可以用Filter过滤器来实现对请求的过滤。关于过滤器的学习和使用可以查看园内这个博客，写的很详细：http://www.cnblogs.com/xdp-gacl/p/3948353.html

二、实现

a) 新建一个实现Filter接口的类，并实现接口定义的方法，其中doFilter()方法中就是你定义的这个过滤器里要实现的功能，代码如下：

package com.app.util;

import java.io.IOException;
import java.io.PrintWriter;
import java.util.HashMap;
import java.util.Map;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

public class AppRequestFilter implements Filter{

    @Override
    public void destroy() {
        // TODO Auto-generated method stub
        
    }

    @Override
    public void doFilter(ServletRequest req, ServletResponse resp,
            FilterChain chain) throws IOException, ServletException {
        // TODO Auto-generated method stub
        System.out.println(" filter begin ");
        req.setCharacterEncoding("UTF-8");
        resp.setContentType("text/html;charset=UTF-8");
        HttpServletRequest request = (HttpServletRequest)req;
        HttpServletResponse response = (HttpServletResponse)resp;
        Object userid = request.getSession().getAttribute("current_user_id");
        if (userid == null) {
            //定义返回信息
            Map<String,Object> map = new HashMap<String,Object>();
            map.put("status", -1);
            map.put("data", null);
            map.put("msg", "you not login the system... can't request resource !");
            PrintWriter writer = response.getWriter();  
            //这里使用fastjson.jar返回JSON数据；
            writer.print( com.alibaba.fastjson.JSONArray.toJSONString(map));  
            writer.flush();  
            writer.close(); 
        }else{
            chain.doFilter(req, resp);
        }
        System.out.println(" filter end ");
    }

    @Override
    public void init(FilterConfig arg0) throws ServletException {
        // TODO Auto-generated method stub
        
    }

}

b) 上面就将过滤器建好了，现在只要在web.xml中配置上去或者叫注册，这个过滤器就可以发挥作用了。

  <filter>
    <filter-name>AppRequest</filter-name>
    <filter-class>com.app.util.AppRequestFilter</filter-class>
  </filter>
  <filter-mapping>
    <filter-name>AppRequest</filter-name>
    <url-pattern>/appinter/*</url-pattern>
  </filter-mapping>

c) 致此，appinter下的接口就多了一层保护，没有登录获取session的话就会直接返回JSON提示信息让客户端处理：JSON返回实例如：{"msg":"you not login the system... can't request resource !","status":-1} 。

补充：

a) 为了让接口尽量规范，所以JSON返回格式要规定，至少三项：status状态码、msg状态信息、data数据，分别是String/String/Object类型；但是上面的JSON结果为什么没有data字段了呢，是因为用的fastjson.jar这个jar包的原因，因为这个jar包会自动把null值的字段过滤掉不显示，这一点安卓客户端解析每次都要判断会比较麻烦，实际使用可以考虑用其他JSON工具。

b) 登陆的时候如何分配Session给客户端，如果是用struts可以用这个得到Session：

Map session=ActionContext.getContext().getSession(); 然后往里面添上验证的信息也就是session.put("current_user_id", au.getId())，然后将session返回给客户端。

 以上内容，记以温查。