Wykonywanie uwierzytelniania użytkowników w Java EE / JSF przy użyciu J security check

Przypuszczam, że chcesz uwierzytelniania opartego na formularzach za pomocą deskryptorów wdrażania i j_security_check.

Możesz to zrobić również w JSF, używając tych samych predefiniowanych nazw pól j_username i j_password, Jak pokazano w samouczku.

Np.

<form action="j_security_check" method="post">
    <h:outputLabel for="j_username" value="Username" />
    <h:inputText id="j_username" />
    <br />
    <h:outputLabel for="j_password" value="Password" />
    <h:inputSecret id="j_password" />
    <br />
    <h:commandButton value="Login" />
</form>

Możesz zrobić leniwe ładowanie w getterze User, aby sprawdzić, czy User jest już zalogowany, a jeśli nie, sprawdź, czy {[10] } jest obecny w żądaniu, a jeśli tak, to uzyskaj User skojarzony z j_username.

package com.stackoverflow.q2206911;

import java.io.IOException;
import java.security.Principal;

import javax.faces.bean.ManagedBean;
import javax.faces.bean.SessionScoped;
import javax.faces.context.FacesContext;

@ManagedBean
@SessionScoped
public class Auth {

    private User user; // The JPA entity.

    @EJB
    private UserService userService;

    public User getUser() {
        if (user == null) {
            Principal principal = FacesContext.getCurrentInstance().getExternalContext().getUserPrincipal();
            if (principal != null) {
                user = userService.find(principal.getName()); // Find User by j_username.
            }
        }
        return user;
    }

}

User jest oczywiście dostępny w JSF EL przez #{auth.user}.

Aby wylogować się wykonaj HttpServletRequest#logout() (i ustaw User NA null!). Możesz uzyskać uchwyt HttpServletRequest W JSF przez ExternalContext#getRequest(). Możesz również całkowicie unieważnić sesję.

public String logout() {
    FacesContext.getCurrentInstance().getExternalContext().invalidateSession();
    return "login?faces-redirect=true";
}

Dla remnant (definiowanie użytkowników, ról i ograniczeń w deskryptorze wdrażania i serwerze), po prostu postępuj zgodnie z samouczkiem Java EE 6 i dokumentacją servletcontainer sposób.

Update: możesz również użyć nowego Servleta 3.0 HttpServletRequest#login() aby wykonać login programistyczny zamiast używać j_security_check, który może nie być per-se osiągalny przez dyspozytora w niektórych serwletcontainerach. W tym przypadku można użyć pełnej formy JSF i fasoli o właściwościach username i password oraz metody login, która wygląda tak:

<h:form>
    <h:outputLabel for="username" value="Username" />
    <h:inputText id="username" value="#{auth.username}" required="true" />
    <h:message for="username" />
    <br />
    <h:outputLabel for="password" value="Password" />
    <h:inputSecret id="password" value="#{auth.password}" required="true" />
    <h:message for="password" />
    <br />
    <h:commandButton value="Login" action="#{auth.login}" />
    <h:messages globalOnly="true" />
</h:form>

I ten widok scoped managed bean, który również pamięta początkowo żądaną stronę:

@ManagedBean
@ViewScoped
public class Auth {

    private String username;
    private String password;
    private String originalURL;

    @PostConstruct
    public void init() {
        ExternalContext externalContext = FacesContext.getCurrentInstance().getExternalContext();
        originalURL = (String) externalContext.getRequestMap().get(RequestDispatcher.FORWARD_REQUEST_URI);

        if (originalURL == null) {
            originalURL = externalContext.getRequestContextPath() + "/home.xhtml";
        } else {
            String originalQuery = (String) externalContext.getRequestMap().get(RequestDispatcher.FORWARD_QUERY_STRING);

            if (originalQuery != null) {
                originalURL += "?" + originalQuery;
            }
        }
    }

    @EJB
    private UserService userService;

    public void login() throws IOException {
        FacesContext context = FacesContext.getCurrentInstance();
        ExternalContext externalContext = context.getExternalContext();
        HttpServletRequest request = (HttpServletRequest) externalContext.getRequest();

        try {
            request.login(username, password);
            User user = userService.find(username, password);
            externalContext.getSessionMap().put("user", user);
            externalContext.redirect(originalURL);
        } catch (ServletException e) {
            // Handle unknown username/password in request.login().
            context.addMessage(null, new FacesMessage("Unknown login"));
        }
    }

    public void logout() throws IOException {
        ExternalContext externalContext = FacesContext.getCurrentInstance().getExternalContext();
        externalContext.invalidateSession();
        externalContext.redirect(externalContext.getRequestContextPath() + "/login.xhtml");
    }

    // Getters/setters for username and password.
}

Tędy {[8] } jest dostępny w JSF EL przez #{user}.

Należy wspomnieć, że jest to opcja, aby całkowicie pozostawić problemy z uwierzytelnieniem frontowemu kontrolerowi, np. serwerowi Apache i ocenić HttpServletRequest.zamiast tego getRemoteUser (), która jest reprezentacją Javy dla zmiennej środowiskowej REMOTE_USER. Umożliwia to również zaawansowane projekty logowania, takie jak uwierzytelnianie Shibboleth. Filtrowanie żądań do kontenera serwleta przez serwer WWW jest dobrym rozwiązaniem dla środowisk produkcyjnych, często używa się mod_jk więc.

Problem HttpServletRequest.login does not set authentication state in session zostało naprawione w 3.0.1. Zaktualizuj glassfish do najnowszej wersji i gotowe.

Aktualizacja jest dość prosta:

glassfishv3/bin/pkg set-authority -P dev.glassfish.org
glassfishv3/bin/pkg image-update