bboss 安全认证过滤器功能介绍

bboss 安全认证过滤器功能介绍

bboss 3.6新增了安全认证过滤器抽象类org.frameworkset.web.interceptor.AuthenticateFilter
废除之前版本中的mvc安全认证拦截器org.frameworkset.web.interceptor.AuthenticateInterceptor

AuthenticateFilter过滤器具备两个功能：
身份检测-保证合法用户访问页面
权限检测-保证合法用户在具备访问权限的情况下才能访问页面

AuthenticateFilter过滤器具有以下属性
preventDispatchLoop = false;//循环跳转检测开关，true启用，false禁用，默认为false
http10Compatible = true; //whether to stay compatible with HTTP 1.0 clients,true标识兼容，false标识不兼容，默认为true
redirecturl = "/login.jsp"; //指定检测失败重定向地址，默认为login.jsp,即安全认证检测失败跳转向指定的页面
/**
* 认证和权限检测失败页面跳转方式，有以下三个值，默认为redirect
* include
* redirect
* forward
*/
directtype = "redirect";
//明确指出需要检测的页面范围，多个用逗号分隔，可选，如果没有配置则扫描所有页面（忽略patternsExclude指定的相关页面）
//可以是指定包含通配符*的页面地址，用来模糊匹配多个页面
patternsInclude
//明确指出不需要检测的页面范围，多个用逗号分隔，可选，如果没有配置则扫描所有页面或者扫描patternsInclude指定的页面
//可以是指定包含通配符*的页面地址，用来模糊匹配多个页面
patternsExclude
         //明确指出需要做权限检测的页面范围，多个用逗号分隔，可选，如果没有配置则扫描所有页面（忽略permissionExclude指定的相关页面）
//可以是指定包含通配符*的页面地址，用来模糊匹配多个页面
permissionInclude
//明确指出不需要检测的页面范围，多个用逗号分隔，可选，如果没有配置则扫描所有页面或者扫描permissionInclude指定的页面
//可以是指定包含通配符*的页面地址，用来模糊匹配多个页面
permissionExclude
         //enablePermissionCheck属性可以屏蔽权限检测机制,true启用，false禁用，默认值为false
         enablePermissionCheck


//failedback和failedbackurlpattern两个参数，用来记录请求页面地址，以便在登录后重新跳转到请求页面，failedback为true时，符合failedbackurlpattern中配置的请求页面时，会将请求地址作为参数传递到登陆页面，对应的参数名称为accesscontrol_check_referpath,如果failedbackurlpattern为空，则所有的需要认证的请求页面都会作为参数传递到登陆页面。重定向功能的使用可以参考文档：
bboss安全认证过滤器认证后重定向到请求页面功能介绍

AuthenticateFilter提供了两个抽象方法：

protected boolean check(HttpServletRequest request,
			HttpServletResponse response, HandlerMeta handlerMeta)

在应用系统中，您可以继承org.frameworkset.web.interceptor.AuthenticateFilter并实现抽象方法check，从而实现具体的安全认证检测类来进行用户是否登录检测，如果已经登录则返回true，没有登录则返回false。

protected abstract boolean checkPermission(HttpServletRequest request,
			HttpServletResponse response, HandlerMeta handlerMeta,String uri);

应用系统可以继承实现checkPermission方法来实现url权限检测功能，返回true表示有url访问权限，false表示无url访问权限，无权限时将跳转到authorfailedurl属性对应的提示页面，enablePermissionCheck属性可以屏蔽权限检测机制。

以下是一个具体实现示例：

public class SYSAuthenticateFilter extends AuthenticateFilter
{
         /**
	 * 用户身份验证
	 */
	protected boolean check(HttpServletRequest request,
			HttpServletResponse response, HandlerMeta handlerMeta)
	{
		AccessControl control = AccessControl.getInstance();
		boolean result = control.checkAccess(request, response, false);
		if(result)
		{
			request.setAttribute(AccessControl.accesscontrol_request_attribute_key,control);
		}
		return result;
		
		
	}

	/**
	 * url权限判断
	 */
	@Override
	protected boolean checkPermission(HttpServletRequest request,
			HttpServletResponse response, HandlerMeta handlerMeta, String uri) {
		AccessControl control = AccessControl.getAccessControl();
		return control.checkURLPermission(uri, "visible", "column");
	}

}

安全过滤器在web.xml中的配置方法如下：

<filter>
    <filter-name>securityFilter</filter-name>
    <filter-class>com.frameworkset.platform.security.SYSAuthenticateFilter</filter-class>
    <init-param>
      <param-name>patternsExclude</param-name>
      <param-value>
    		/sysmanager/logoutredirect.jsp,
    		/login.jsp,
    		/logout.jsp
    	   </param-value>
    </init-param>
    <init-param>
      <param-name>redirecturl</param-name>
      <param-value>/sysmanager/logoutredirect.jsp</param-value>
    </init-param>
 <!--
    安全认证过滤器AuthenticateFilter中包含checkPermission抽象方法，应用系统可以继承实现这个方法来实现url权限检测功能，返回true表示有url访问权限，false表示无url访问权限，无权限时将跳转到authorfailedurl属性对应的提示页面
    enablePermissionCheck属性可以屏蔽权限检测机制
    -->
     <init-param> 
      <param-name>enablePermissionCheck</param-name> 
      <param-value>true</param-value> 
    </init-param> 
  
    <init-param> 
      <param-name>permissionExclude</param-name> 
      <param-value> 
    	/login.jsp,/authorfailed.jsp
       </param-value> 
    </init-param> 
<!--     <init-param>  -->
<!--       <param-name>permissionInclude</param-name>  -->
<!--       <param-value>  -->
<!--     	/login.jsp -->
<!--        </param-value>  -->
<!--     </init-param>  -->
   
    <init-param> 
      <param-name>authorfailedurl</param-name> 
      <param-value>/authorfailed.jsp</param-value> 
    </init-param>
    <init-param> 
      <param-name>preventDispatchLoop</param-name> 
      <param-value>false</param-value> 
    </init-param>     
    <init-param>
			<param-name>failedback</param-name>
			<param-value>true</param-value>
		</init-param>
		<init-param>
			<param-name>failedbackurlpattern</param-name>
			<param-value>/bbossdesktop/index.page,/bbossdesktop/indexcommon.page</param-value>
		</init-param>
  </filter>
 
  <filter-mapping>
    <filter-name>securityFilter</filter-name>
    <url-pattern>*.jsp</url-pattern>
  </filter-mapping>
  <filter-mapping>
    <filter-name>securityFilter</filter-name>
    <url-pattern>*.page</url-pattern>
  </filter-mapping>
  <filter-mapping>
    <filter-name>securityFilter</filter-name>
    <url-pattern>*.frame</url-pattern>
  </filter-mapping>

当采用AuthenticateFilter过滤器后，原来在bboss-mvc.xml中的认证拦截器就可以去掉了，具体操作方法为，
定位到bboss-mvc.xml,注释或者去掉SYSAuthenticateInterceptor节点内容：

<!-- 配置全局控制器方法拦截器 -->
     <property name="org.frameworkset.web.servlet.gloabel.HandlerInterceptors" >
     	<list componentType="bean">
     		<!--<property class="com.frameworkset.platform.security.SYSAuthenticateInterceptor"> -->
     			<!-- 配置认证检查拦截器拦截url模式规则 -->
     			<!-- <property name="patternsInclude">
     				<list componentType="string">
     					<property value="/**/*.page"/>
     				</list>
     			</property>-->
     			<!-- 配置认证检查拦截器不拦截url模式规则 -->
     			<!--<property name="patternsExclude">
     				<list componentType="string">
     					<property value="/uddi/queryservice/main.page"/>
     					<property value="/uddi/queryservice/verify.page"/>
     					<property value="/uddi/queryservice/requesterVerify.page"/>
     					<property value="/uddi/queryservice/detail.page"/>
     					<property value="/uddi/servicemanage/basic.page"/>    
     					<property value="/uddi/servicemanage/servicedesc.page"/>
     					<property value="/uddi/servicemanage/listmetadata.page"/>
     					<property value="/uddi/queryservice/visitpermission.page"/>
     					
     					<property value="/uddi/queryservice/logout.page"/>
     					
     					
     				</list>
     			</property>
     			<property name="redirecturl" value="/sysmanager/logoutredirect.jsp"/>
     		</property>-->
     	</list>
     </property>

目前3.6版本还没有发布到sourceforge中，但是大家可以从github下载最新的源码构建jar包来进行升级：
github源码地址：
https://github.com/bbossgroups/bbossgroups-3.5
mvc依赖的jar说明请参考文章中的mvc部分（bboss框架的包需要全部重新从相应的子工程中构建新的包来替换和升级）：
http://yin-bp.iteye.com/blog/1143994