使用j在Java EE / JSF中执行用户认证

我想知道当前使用JSF 2.0（以及是否存在任何组件）和Java EE 6核心机制（登录/检查权限/注销）的Web应用程序的用户身份验证的当前方法与用户信息保存在JPA实体。 Oracle Java EE教程在这方面有点稀疏（只能处理servlet）。

这没有使用像Spring-Security（acegi）或Seam这样的整个其他框架，但是如果可能的话，尽量使用新的Java EE 6平台（web profile）。

---

在搜索Web并尝试许多不同的方式后，下面是我对Java EE 6认证的建议：

建立安全领域：

就我而言，我有数据库中的用户。 因此，我按照这篇博客文章创建了一个JDBC Realm，它可以根据我的数据库表中的用户名和MD5散列密码对用户进行身份验证：

http://blog.gamatam.com/2009/11/jdbc-realm-setup-with-glassfish-v3.html

注意：该帖子讨论数据库中的用户和组表。 我有一个User类的枚举属性通过javax.persistence注释映射到数据库。 我为用户和组配置了相同的表，使用userType列作为组列，它工作正常。

使用表单认证：

继续上面的博客文章，配置你的web.xml和sun-web.xml，但不是使用BASIC认证，而是使用FORM（实际上，你使用哪一个并不重要，但我最终使用了FORM）。 使用标准的HTML，而不是JSF。

然后使用BalusC的技巧，从数据库中初始化用户信息。 他建议在一个托管bean中从脸部获取主体。 相反，我使用有状态会话bean来存储每个用户的会话信息，所以我注入了会话上下文：

 @Resource
 private SessionContext sessionContext;

通过委托人，我可以检查用户名，并使用EJB实体管理器从数据库获取用户信息并存储在我的SessionInformation EJB中。

登出：

我也四处寻找注销的最佳方式。 我发现的最好的一个是使用Servlet：

 @WebServlet(name = "LogoutServlet", urlPatterns = {"/logout"})
 public class LogoutServlet extends HttpServlet {
  @Override
  protected void service(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
   HttpSession session = request.getSession(false);

   // Destroys the session for this user.
   if (session != null)
        session.invalidate();

   // Redirects back to the initial page.
   response.sendRedirect(request.getContextPath());
  }
 }

尽管考虑到问题的日期，我的答案确实很晚，但我希望这可以帮助其他人最终从Google那里得到帮助，就像我一样。

再见，

VítorSouza

---

我想你想使用部署描述符和j_security_check基于表单的身份验证。

您也可以通过使用本教程中演示的相同的预定义字段名称j_username和j_password ，在JSF中执行此操作。

例如

<form action="j_security_check" method="post">
    <h:outputLabel for="j_username" value="Username" />
    <h:inputText id="j_username" />
    <br />
    <h:outputLabel for="j_password" value="Password" />
    <h:inputSecret id="j_password" />
    <br />
    <h:commandButton value="Login" />
</form>

您可以在User getter中进行延迟加载，以检查User是否已经登录，如果没有，则检查Principal是否存在于请求中，如果是，则获取与j_username关联的User 。

package com.stackoverflow.q2206911;

import java.io.IOException;
import java.security.Principal;

import javax.faces.bean.ManagedBean;
import javax.faces.bean.SessionScoped;
import javax.faces.context.FacesContext;

@ManagedBean
@SessionScoped
public class Auth {

    private User user; // The JPA entity.

    @EJB
    private UserService userService;

    public User getUser() {
        if (user == null) {
            Principal principal = FacesContext.getCurrentInstance().getExternalContext().getUserPrincipal();
            if (principal != null) {
                user = userService.find(principal.getName()); // Find User by j_username.
            }
        }
        return user;
    }

}

User显然可以通过#{auth.user}在JSF EL中访问。

要注销，请执行HttpServletRequest#logout() （并将User设置为null！）。 您可以通过ExternalContext#getRequest()获取JSF中的HttpServletRequest句柄。 您也可以完全使会话无效。

public String logout() {
    FacesContext.getCurrentInstance().getExternalContext().invalidateSession();
    return "login?faces-redirect=true";
}

对于剩余（在部署描述符和领域中定义用户，角色和约束），只需按照常规方法遵循Java EE 6教程和servletcontainer文档。

---

更新 ：你也可以使用新的Servlet 3.0 HttpServletRequest#login()来做一个程序化的登录，而不是使用j_security_check ，这在一些j_security_check中可能不是调度器可以访问的。 在这种情况下，您可以使用完整的JSF表单和一个拥有username和password属性以及类似如下所示的login方法的bean：

<h:form>
    <h:outputLabel for="username" value="Username" />
    <h:inputText id="username" value="#{auth.username}" required="true" />
    <h:message for="username" />
    <br />
    <h:outputLabel for="password" value="Password" />
    <h:inputSecret id="password" value="#{auth.password}" required="true" />
    <h:message for="password" />
    <br />
    <h:commandButton value="Login" action="#{auth.login}" />
    <h:messages globalOnly="true" />
</h:form>

这个视图的作用域管理bean也记得最初请求的页面：

@ManagedBean
@ViewScoped
public class Auth {

    private String username;
    private String password;
    private String originalURL;

    @PostConstruct
    public void init() {
        ExternalContext externalContext = FacesContext.getCurrentInstance().getExternalContext();
        originalURL = (String) externalContext.getRequestMap().get(RequestDispatcher.FORWARD_REQUEST_URI);

        if (originalURL == null) {
            originalURL = externalContext.getRequestContextPath() + "/home.xhtml";
        } else {
            String originalQuery = (String) externalContext.getRequestMap().get(RequestDispatcher.FORWARD_QUERY_STRING);

            if (originalQuery != null) {
                originalURL += "?" + originalQuery;
            }
        }
    }

    @EJB
    private UserService userService;

    public void login() throws IOException {
        FacesContext context = FacesContext.getCurrentInstance();
        ExternalContext externalContext = context.getExternalContext();
        HttpServletRequest request = (HttpServletRequest) externalContext.getRequest();

        try {
            request.login(username, password);
            User user = userService.find(username, password);
            externalContext.getSessionMap().put("user", user);
            externalContext.redirect(originalURL);
        } catch (ServletException e) {
            // Handle unknown username/password in request.login().
            context.addMessage(null, new FacesMessage("Unknown login"));
        }
    }

    public void logout() throws IOException {
        ExternalContext externalContext = FacesContext.getCurrentInstance().getExternalContext();
        externalContext.invalidateSession();
        externalContext.redirect(externalContext.getRequestContextPath() + "/login.xhtml");
    }

    // Getters/setters for username and password.
}

这样， User可以通过#{user}在JSF EL中访问。

---

应该提及的是，将身份验证问题完全留给前端控制器（例如Apache Web服务器）并且评估HttpServletRequest.getRemoteUser（）是一种选项，而该方法是REMOTE_USER环境变量的JAVA表示形式。 这也允许复杂的登录设计，如​​Shibboleth认证。 过滤通过Web服务器向servlet容器发出的请求是生产环境的良好设计，通常使用mod_jk来实现。

链接地址: http://www.djcxy.com/p/68539.html

上一篇: Performing user authentication in Java EE / JSF using j

下一篇: Getting Issues and Pull Requests for a specific user