JSF项目中实现基于RBAC模型的权限管理设计（二） 转
4.3 权限验证模块设计
一个好的权限管理机制在项目中应用时，最好不要让程序员在具体业务代码的方法中来判断用户权限。因为这意味着大量重复的代码。同时，也会导致权限机制的修改造成所有业务代码都需要修改一遍。
最好办法是实现与具体业务代码无关的独立的权限验证模块。这个模块可以拦截用户对资源的访问请求，并且在该请求被实施前做出权限判断，将权限不符的访问导向警告或提示页面。
在普通的JSP项目中，我们往往会利用Tomcat的Servlet filter机制来实现这样的功能，但filter机制的颗粒度不够，无法做到ACTION级别。另一个问题是，在JSF项目中，页面的跳转默认使用的是Forward形式，而不是redirect形式的URL重定向，因此Filter往往无法截获页面的转向。
因此，在JSF项目中我们首先需要解决如何截获到用户对资源的访问的问题。
4.3.1 捕获URL级别的资源访问
在JSF中，我们有时候会使用PhaseListener观察JSF生命周期，这给我们一个思路，通过PhaseListener 可以在一个点上（JSF生命周期的Restore View phase阶段）来获取请求和输出路径信息（这个路径实际上就是我们定义的URL类型的资源）。路径获取后我们就可以据此进行鉴权，从而避免在每个页面或者每个backing bean中判断用户访问权限，造成过多的冗余代码和管理上的混乱。
步骤一：在faces-config.xml中注册 自定义的PhaseListener。
|
<lifecycle> <phase-listener>com.laomao.view.listener.PermissionPhaseListener</phase-listener> </lifecycle> |
步骤二：实现我们自己的PhaseListener接口
|
package com.laomao.view.listener; import javax.el.MethodExpression; import javax.faces.FacesException; import javax.faces.application.Application; import javax.faces.application.NavigationHandler; import javax.faces.context.FacesContext; import javax.faces.event.PhaseEvent; import javax.faces.event.PhaseId; import javax.faces.event.PhaseListener; import org.apache.commons.logging.Log; import org.apache.commons.logging.LogFactory; public class PermissionPhaseListener implements PhaseListener {
private static Log log = LogFactory.getLog(PermissionPhaseListener.class);
@Override public void afterPhase(PhaseEvent event) { PhaseId phaseId = event.getPhaseId(); if (phaseId == PhaseId.RESTORE_VIEW || phaseId == PhaseId.INVOKE_APPLICATION) { FacesContext currentContext = FacesContext.getCurrentInstance(); String viewId= currentContext.getViewRoot().getViewId(); //ViewId 就是我们需要的路径，类似URL，如/noPermission.xhtml System.out.println("afterPhase: " + viewId);
//判断用户的操作权限 boolean isEnabled = true; //TODO: 鉴权代码 //…
if(!isEnabled){ gotoNoPermissionPage(); } } }
/** * 转入无权限声明页面 * @param expression */ private void gotoNoPermissionPage() { FacesContext context = FacesContext.getCurrentInstance(); Application application = context.getApplication();
NavigationHandler navHandler = application.getNavigationHandler(); navHandler.handleNavigation(context, null, Constants.NAVIGATION_NO_PERMISSION); context.renderResponse(); } } |
PhaseListener可以捕获到URL的变化，对于页面内部的操作则无能为力了。例如CommandButton的操作，可能删除了一条记录，但URL却没有变化，仅仅是页面局部进行了刷新。因此，我们还需要一个可以捕获到用户对ACTION类型的资源的访问的利器。这个利器就是ActionListener。
4.3.2 捕获ACTION级别的资源访问
当一个按钮被按下，或者命令联结被点击时，JSF会在invork application阶段的broadcast
event时通过ActionListener调用事先绑定的事件处理方法。如果有用户自定义的ActionListener时，JSF将使用用户自定义ActionListener来代替默认的ActionListener。
用户自定义ActionListener必须实现javax.faces.event.ActionListener接口，并实现其接口方法：public void processAction(ActionEvent actionEvent)。
注意，在这个实现方法里，必须调用控件的事件处理方法（JSF Backing Bean中的事件处理方法），并对其返回值做出画面迁移处理和其他你自己的处理等。
步骤一：在faces-config.xml中注册 自定义的ActionListener。
|
<application> <action-listener>com.laomao.view.listener.ActionListenerImpl</action-listener> </application> |
步骤二：实现我们自己的ActionListener接口
|
package com.laomao.view.listener; import javax.el.ELContext; import javax.el.MethodExpression; import javax.faces.FacesException; import javax.faces.application.Application; import javax.faces.application.NavigationHandler; import javax.faces.component.ActionSource2; import javax.faces.context.FacesContext; import javax.faces.el.EvaluationException; import javax.faces.el.MethodBinding; import javax.faces.event.AbortProcessingException; import javax.faces.event.ActionEvent; import javax.faces.event.ActionListener; import org.apache.commons.logging.Log; import org.apache.commons.logging.LogFactory; public class ActionListenerImpl implements ActionListener { private static Log log = LogFactory.getLog(PermissionPhaseListener.class);
@Override public void processAction(ActionEvent actionEvent) throws AbortProcessingException { FacesContext facesContext = FacesContext.getCurrentInstance(); Application application = facesContext.getApplication(); ActionSource2 actionSource = (ActionSource2)actionEvent.getComponent();
MethodBinding methodBinding = actionSource.getAction(); String fromAction; String outcome; if (methodBinding == null) { fromAction = null; outcome = null; } else { fromAction = methodBinding.getExpressionString();
try { outcome = (String) methodBinding.invoke(facesContext, null); //fromAction与faces-config.xml中登记的是一致的 //fromAction: #{loginController.loginAction}， outcome: success System.out.println("fromAction: " + fromAction + ", outcome: " + outcome);
boolean isEnabled = true; //TODO: 鉴权代码 //… if(!isEnabled){ //如果无此权限，转到权限不足页面 gotoNoPermissionPage(actionSource.getActionExpression()); }
} catch (EvaluationException e) { Throwable cause = e.getCause(); if (cause != null && cause instanceof AbortProcessingException) { throw (AbortProcessingException)cause; } else { throw new FacesException("Error calling action method of component with id " + actionEvent.getComponent().getClientId(facesContext), e); } } catch (RuntimeException e) { throw new FacesException("Error calling action method of component with id " + actionEvent.getComponent().getClientId(facesContext), e); } } NavigationHandler navigationHandler = application.getNavigationHandler(); navigationHandler.handleNavigation(facesContext,fromAction,outcome); //Render Response if needed facesContext.renderResponse(); }
/** * 转入无权限声明页面 * @param expression */ private void gotoNoPermissionPage(MethodExpression expression) { FacesContext context = FacesContext.getCurrentInstance(); Application application = context.getApplication();
NavigationHandler navHandler = application.getNavigationHandler(); navHandler.handleNavigation(context, null == expression ? null : expression.getExpressionString(), Constants.NAVIGATION_NO_PERMISSION); context.renderResponse(); } } |
转：http://laomaowww.blog.163.com/blog/static/16600567320124751827427/