Phân quyền đơn giản trong Spring MVC với Spring Interceptor và Java Annotation

Phân quyền đơn giản trong Spring MVC với Spring Interceptor và Java Annotation Xem chi tiết tại : http://blog.co-mit.com/post/61/Ph%C3%A2n+quy%E1%BB%81n+%C4%91%C6%A1n+gi%E1%BA%A3n+trong+Spring+MVC+v%E1%BB%9Bi+Spring+Interceptor+v%C3%A0+Java+Annotation Khi lập trình web trên Spring MVC để phân quyền truy cập cho websites đơn giản chúng ta sử dụng: session trực tiếp trong controller trong từng request. sử dụng filter để đơn giản hoá việc áp dụng session. chuyên nghiệp hơn thì sử dụng thư viện Spring Security. Trong bài viết này sẽ đề cập đến cách thứ 2 nhưng áp dụng thêm kiến thức về Java Annotation để việc sử dụng chuyên nghiệp như Spring Security (trên khía cạnh tối giản code khi triển khai trên từng request). Với cách làm này hoàn toàn có thể nâng cấp thành một thư viện áp dụng cho nhiều dự án khác nhau. Mở đầu Việc sử dụng filter thường có 2 hướng (mô tả cho servlet): khai báo role và url tương ứng dưới xml (web.xml): 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 <filter>    <filter-name>Admin</filter-name>    <filter-class>AuthenFilter</filter-class>    <init-param>       <param-name>role</param-name>       <param-value>admin</param-value>    </init-param> </filter>   <filter-mapping>    <filter-name>Admin</filter-name>    <url-pattern>/admin</url-pattern> </filter-mapping>   <filter>    <filter-name>Emp</filter-name>    <filter-class>AuthenFilter</filter-class>    <init-param>       <param-name>role</param-name>       <param-value>admin</param-value>    </init-param> </filter>   <filter-mapping>    <filter-name>Emp</filter-name>    <url-pattern>/employee</url-pattern> </filter-mapping> Sau đó trong AuthenFilter chỉ cần get param role và tiến hành so sánh với user hiện tại. Vấn đề là chúng ta phải lặp đi lặp lại khai báo như đoạn code trên.   Khai báo một lần filter cho tất cả các url: 1 2 3 4 5 6 7 8 9 <filter>    <filter-name>AuthenFilter</filter-name>    <filter-class>AuthenFilter</filter-class> </filter>   <filter-mapping>    <filter-name>AuthenFilter</filter-name>    <url-pattern>/*</url-pattern> </filter-mapping> Nhưng trong AuthenFilter chúng ta phải so sánh lại cả url lẫn role của user lặp đi lặp lại trong code java.   Dễ nhận thấy 2 cách trên thường mất nhiều thời gian và viết đi viết lại những đoạn khai báo, so sánh nhàm chán. Và khó sử dụng lại trong các dự án khác nhau. Vậy nên với giải pháp sẽ trình bày dưới đây sẽ phần nào hạn chế được những nhược điểm trên. Mô tả Chúng ta sẽ dùng filter như cách thứ 2 ở trên để bắt toàn bộ các request đưa vào một filter duy nhất.  Đối với Spring sử dụng Interceptor thay thế cho filter như trong servlet (Interceptor có chức năng tương đương filter). Khai báo annotation interface, sử dụng anotation tại controller và tiến hành reflect runtime tại Interceptor. Demo Code demo chạy trên maven, trong bài này sẽ bỏ qua các khởi tạo và cấu hình cơ bản của maven và spring mvc. Cấu trúc thư mục: Cấu hình ContextLoaderListener trong web.xml: 1 2 3 <listener>         <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class> </listener> Khởi tạo annotation interface (Auth.java): 1 2 3 4 5 6 7 8 9 10 11 12 13 14 @Retention(RetentionPolicy.RUNTIME) // khai báo annotation này có hiệu lực với method @Target(ElementType.METHOD) public @interface Auth {     // ở đây mình set cứng gồm 1 số quyền sau, chúng ta có thể thay thế sang     // String hoặc int để sử dụng kèm db     public enum Role {         LOGIN, ADMIN, EMPLOYEE     };       // khai báo properties cho anotation với giá trị mặc định là LOGIN     // ví dụ: @Auth(role = Role.LOGIN)     public Role role() default Role.LOGIN; // default = @Auth() } Khởi tạo Interceptor (AuthInterceptor.java): 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 public class AuthInterceptor implements HandlerInterceptor {       // preHandle sẽ được gọi khi có request (config request url ở dưới)     @Override     public boolean preHandle(HttpServletRequest request,             HttpServletResponse response, Object handler) throws Exception {           // trích xuất method tương ứng với request mapping trong controller         HandlerMethod handlerMethod = (HandlerMethod) handler;         Method method = handlerMethod.getMethod();           // tìm trong method có khai báo anotation Auth?         Auth roleAnnotation = AnnotationUtils                 .findAnnotation(method, Auth.class);         // nếu có lấy ra thuộc tính role, không trả về null         Auth.Role role = roleAnnotation != null ? roleAnnotation.role() : null;           // lấy các thông tin đăng nhập từ session         HttpSession session = request.getSession();         boolean isLogined = session.getAttribute("isLogin") != null ? (Boolean) session                 .getAttribute("isLogin") : false;         Auth.Role loginRole = session.getAttribute("role") != null ? (Auth.Role) session                 .getAttribute("role") : null;           // - trường hợp role yêu cầu của method = null bỏ qua interceptor này và         // chạy bình thường         // - khác null tức request này chỉ được thực hiên khi đã đăng nhập         if (role != null) {             // chưa đăng nhập chuyển hướng sang trang login để đăng nhập             if (!isLogined) {                 response.sendRedirect("login");                 return false;             } else {                 // - trường hợp đã login tiến hành kiểm tra role                 // - những trường hợp chỉ yêu cầu login mà không yêu cầu cụ thể                 // role nào thì tất cả các role đều có quyền truy cập                 // - trường hợp yêu cầu cụ thể loại role sau khi đăng nhập thì                 // phải kiểm tra                 // - không thoả mãn điều kiện dưới chuyển hướng sang trang                 // denied                 if (role != Auth.Role.LOGIN && role != loginRole) {                     response.sendRedirect("deny?url=\""                             + request.getRequestURL().toString() + "?"                             + request.getQueryString() + "\"&role=" + role);                     return false;                 }             }         }           return true;     } } Cấu hình Interceptor trong spring web config (webapp-config.xml): 1 2 3 4 5 6 7 8 <!-- Auth --> <mvc:interceptors>     <mvc:interceptor>         <mvc:mapping path="/**" />         <mvc:exclude-mapping path="/login" />         <beans:bean class="org.authinterceptor.AuthInterceptor" />     </mvc:interceptor> </mvc:interceptors> <mvc:exclude-mapping path="/login" /> : bỏ qua trang login tránh trường hợp interceptor lặp vô hạn. Sử dụng trong controller (AuthControll.java): 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 @Controller public class AuthController {       @RequestMapping(value = "/", method = RequestMethod.GET)     public String index() {           return "index";     }       @RequestMapping(value = "/login", method = RequestMethod.GET)     public String login(HttpSession session) {         if (session.getAttribute("isLogin") != null                 && (Boolean) session.getAttribute("isLogin") == true) {             return "redirect:/success";         }         return "login";     }       @RequestMapping(value = "/login", method = RequestMethod.POST)     public String checkLogin(@RequestParam("user") String user,             @RequestParam("pass") String pass, HttpSession session) {           if ("123456".equals(pass)) {             if ("admin".equals(user)) {                 session.setAttribute("isLogin", true);                 session.setAttribute("user", user);                 session.setAttribute("role", Auth.Role.ADMIN);                   return "redirect:/success";             } else if ("emp".equals(user)) {                 session.setAttribute("isLogin", true);                 session.setAttribute("user", user);                 session.setAttribute("role", Auth.Role.EMPLOYEE);                   return "redirect:/success";             }         }           return "login";     }       @RequestMapping(value = "/deny", method = RequestMethod.GET)     public String deny() {           return "deny";     }       @Auth(role = Auth.Role.LOGIN)     @RequestMapping(value = "/success", method = RequestMethod.GET)     public String needLogin() {         return "success";     }       @Auth(role = Auth.Role.LOGIN)     @RequestMapping(value = "/logout", method = RequestMethod.GET)     public String logout(HttpSession session) {         session.removeAttribute("isLogin");         session.removeAttribute("user");         session.removeAttribute("role");           return "redirect:/";     }       @Auth(role = Auth.Role.ADMIN)     @RequestMapping(value = "/admin", method = RequestMethod.GET)     public String admin() {           return "admin";     }       @Auth(role = Auth.Role.EMPLOYEE)     @RequestMapping(value = "/emp", method = RequestMethod.GET)     public String employee() {           return "emp";     } } Screenshots: