开发Web应用过滤器

  Web应用中的过滤器截取从客户端进来的请求，并做出处理的答复。它可以说是外部进入网站的第一道夫。在这个关卡里，可以验证客户是否来自可信的网络，可以对客户提交的数据进行重新编码，可以从系统里获得配置的信息，可以过滤掉客户的某些不应出现的词汇，可以验证客户是否已经登录，可以验证客户端的浏览器是否支持当前的应用，可以记录系统的日志等。
  可以为一个web应用组件部署多个过滤器，这些过滤器组成一个过滤链，每个过滤器只执行某个特定的操作或者检查。这样请求在达到被访问的目标之前，需要经过这个个过滤链。如果由于安全的问题不能访问目标资源，那么过滤器就可以把客户端的请求拦截。

Filter的开发
   在应用开发中，经常使用的过滤功能就是对客户端的请求进行统一编码，对客户端进行认证。下面给出一个例子。假设客户需要访问一个secutity/index.jsp页面，这个也没接收一些参数，这些参数需要保存到数据库中，为了在数据库中使用相同的编码，可以开发一个过滤器对请求进行统一编码。Security目录下的所有页面都是受限制的页面，只有通过授权的用户才能访问，如果按照平常的方式，在每个页面都对用户进行授权，这样不仅编程困难，而代码的修改也很困难，这里开发一个进行安全检查的过滤器。

1. EncodingFilter

  package com.test.ch9;
  import javax.servlet.FilterChain;
  import javax.servlet.ServletRequest;
  import javax.Servlet.ServletResponse;
  import java.io.IOException;
  import javax.servlet.Filter;
  import javax.servlet.http.HttpServletRequest;
  import javax.servlet.http.HttpServletResponse;
  import javax.servlet.ServletException;
  import javax.servlet.FilterConfig;
  
  public class EncodingFilter implements Filter
   {
      protected FilterConfig filterConfig;
      private String targetEncoding="gb2312";
    
     // 初始化过滤器和一般的Servlet一样，它也可以获得初始参数
        public void init(FilterConfig config)throws ServletException
       { 
          this.filterConfig=config;
          this.targetEncoding=config.getInitParameter("encoding");
        }
 
     //进行过滤处理，这个方法最重要，所有过滤处理的代码都在此实现
       public void doFilter(ServletRequest srequest,ServletResponse sreponse,FilterChain chain)throws IOException,ServletException{
          System.out.println("使用以下方法对请求进行编码：encoding="+targetEncoding);
          HttpServletRequest request=(HttpServletRequest)srequest;
          request.setCharacterEncoding(targetEncoding);
          //把处理权发送到下一个
            chain.doFilter(srequest,sresponse);
           }

         public  void setFilterConfig(final FilterConfig filterConfig)  {
        this.filterConfig=filterConfig;
       }
      //销毁过滤器
        public void destroy(){
       this.filterConfig=null;
            }
    }

要开发一个Filter，必须直接或者间接实现Filter接口。Filter接口定义如下的方法：
1. init() 用于获得FilterConfig对象
2. destroy() 销毁这个Filter
3. doFilter() 进行过滤处理
在EncodingFilter中，在init方法中通过configgetInitParamter("encoding")获得FilterConfig中的参数，可以看出这种获得参数的方法和Servlet获得初始参数是一样的。doFilter是过滤器中最重要的方法，通过这个方法进行实际的业务处理，在doFilter方法中，首先获得HTTP的请求和响应对象，然后对HTTP请求中的参数进行统一编码，这里采用的编码方式是GB2312。进行编码后，就把控制权转让给下一个过滤器。如果在这个过滤链中没有下一个过滤器，那么就会把请求直接发送到目标。
下面给出Filter的描述

  <web-app>
    ...
      <filter>
         <filter-name>encoding</filter-name>
         <filter-class>com.test.ch9.EncodingFilter</filter-class>
         <init-param>
             <param-name>encoding</param-name>
             <param-value>gb2312</param-value>
         </init-param>
     </filter>
     ....
  </web-app>

上例中，首先声明了EncodingFilter的名字为encoding，然后指定它的实现类，这里是com.test.ch9.EncodingFilter。Filter的名字和实现类的指定是必需的。由于在EncodingFilter中需要使用初始参数，故在这里需要进行声明，用<init-param>声明初始参数。

2.SignonFilter
   下面我们来看另一个Filter的开发，这个Filter用于对用户的访问认证。如果认证通过，那么允许访问指定的资源；如果认证不通过，那么把请求转发到登录的界面。
过滤代码如下：

  package com.test.ch9;
  import javax.servlet.FilterChain;
  import javax.servlet.ServletRequest;
  import javax.servlet.ServletResponse;
  import java.io.IOException;
  import javax.servlet.Filter;
  import javax.servlet.http.HttpServletRequest;
  import javax.servlet.http.HttpServletResponse;
  import javax.servlet.ServletException;
  import javax.servlet.FilterConfig;
  import javax.servlet.http.HttpSession;

 public class SignonFilter implemenets Filter
 {
    String LOGIN_PAGE="login_signon.jsp";
    protected FilterConfig filterConfig;
 
   //过滤处理的方法
    public void doFilter(final ServletRequest req,final ServletResponse res,FilterChain chain)throws IOException,ServletException{
    HttpServletRequest hreq=(HttpServletRequest)req;
    HttpServletResponse hres=(HttpServletResponse)res;
    HttpSession session=hreq.getSession();
    String isLogin="";
    try{
         isLogin=(String)session.getAttribute("isLogin");
              if(isLogin.equals("true"))
                {
                  System.out.println("在SignonFilter中验证通过");
                   //验证成功，继续处理
                      chain.doFilter(req,res);
                }
               else
                {
                  //验证不成功，让用户登录
                     hres.sendRedirect(LOGIN_PAGE);
                  System.out.println("被SignonFilter拦截一个未认证的请求");
                }
       }
    catch(Exception e)
      {
         e.printStackTrace();
      }
 
    }
       
    public void setFilterConfig(final FilterConfig filterConfig)
     {
         this.filterConfig=filterConfig;
       }      

    //销毁过滤器
     public void destroy(){
        this.filterConfig=null;
     }

    //初始过滤器和一般的Servlet一样，它也可以获得初始参数
     public void init(FilterConfig config)throws ServletException
    {
            this.filterConfig=config;
     }
  }

在SignonFilter的doFilter方法中，首先通过isLogin=(String)session.getAttribute("isLogin")代码获得用户是否登录的属性。如果这个属性是"true"，表示用户已经登录，那么就可以访问目标资源；如果这个属性是"false"，表示用户没有登录，那么把请求转发到"login_signon.jsp"。

配置
  配置Filter有两个任务，首先声明Filter，然后是使用Filter
   在声明Filter时，需要指定Filter的名字和Filter的实现类。如果有参数，那么要配置它的参数。在使用Filter时，主要做一些URL的映射，和Filter映射匹配的请求会被处理。例如：给前两个Filter进行配置

  <filter>
     <filter-name>encoding</filter-name>
     <filter-class>com.test.ch9.EncodingFilter</filter-class>
     <init-param>
          <param-name>encoding</param-name>
          <param-value>gb2312</param-value>
     </init-param>
 </filter>
 <filter>
   <filter-name>auth</filter-name>
   <filter-class>com.test.ch9.SignonFilter</filter-class>
 </filter>
 <filter-mapping>
    <filter-name>encoding</filter-name>
    <url-pattern>/*</url-pattern>
 </filter-mapping>
 <filter-mapping>
    <filter-name>auth</filter-name>
    <url-pattern>/security/*</url-pattern>
 </filter-mapping>
 <filter-mapping>
    <filter-name>auth</filter-name>
    <url-pattern>/admin/*<url-pattern>
 </filter-mapping>

在上面的配置中，Encoding Filter指定初始参数，这个参数的名字为"encoding"，它的值为gb2312.
  接着是Filter的映射。在EncodingFilter的Filter-mapping中，它的URL Pattern为"/*"，这表示对任何URL的请求都会被过滤。SignonFilter的一个URL Pattern为"/security/*"，表示以/security开始的所有URL将被过滤。通过，"/admin/*"表示以/admin开始的所有URL将被过滤。
从上面的配置可以看出，一个Filter可以有多个Filter Mapping，也就是说，这个Filter可以为多个Web组件实现过滤。另一方面，一个Web组件可以有多个过滤器，这些过滤器按照配置中出现的先后组成一个过滤链。如/security/index.jsp，它就和另个过滤器匹配，这样在请求到达/security.index.jsp之前，首先经过EncodingFilter的处理。然后经过SignonFilter的处理。如果在SignonFilter中通过验证，那么将访问/security/index.jsp页面，如果认证不同，那么请求就被拦截。