亚洲国产日韩在线成人蜜芽,亚洲欧洲久久av,久久久久亚洲AV成人网

Spring AOP 在DWR安全上的应用

艑ְ� — Tue, 23 May 2006 16:26:00 GMT

�?a href="http://www.tkk7.com/aichan/archive/2006/05/10/45321.html">上一��文�?/a>里提��C��可以�?DWR自动往Service里面注入一个与Servlet相关的对象，作�ؓ参数。只是这��P��要每个Service都加上这��L��一个参敎ͼ�奇丑无比�Q�想�?惻I��军_��p��DWR污染一下，Service保留原样。只是增加一个MethodBeforeAdvice�Q�正是它让DWR的API污染了一下。）�Q�来�?Service的方法进行拦截，可以在Service的调用之前对操作�q�行所谓的�w�䆾验证�Q�授权之�cȝ��操作。完整的拦截模块几个�c�L��件加个Spring�?�|�文件搞定�?/font>

实现拦截功能的类有：

一、MainInteceptor�Q�主拦截器，所以DWR的远�E�调用都会被拦截�Q�当�Ӟ�� 调用是细到方法��的，可配�|�的�Q�该�c�d��C��Spring AOP的MethodBeforeAdvice接口�Q�该�c�L��一个集合成员变量，成员为IInteceptor�?/font>

二、IInteceptor�Q�是一个接口，仅有一个execute(AopContext context)函数。该接口是拦截器�Q�与前面的主拦截器不同，本接口定义的拦截器是可以��q��户去实现�Q��ƈ且可以有多个�Q�。实现接口只需要实现方法。这�?拦截器会被主拦截器回调�?比如要实��C��个��n份验证的拦截�Q�SecuityInteceptor�Q�在配置文�g中把�q�个拦截器设�|��ؓ��L��截器的属性即可获得回调�?/font>

三、AopContext�Q�Aop上下文。在��L��截器调用IInteceptor的对象时�Q�把�q�个上下文对象作为参数来调用子拦截器。从该上下文可获得一�p�d��信息�Q�如HttpSession�Q�HttpRequest�{�。甚至你可以自已讄��属性�?nbsp;

下面看一些代码片�?
MainInteceptor:

private List interceptors;//定义一�p�d��的子拦截�?/font>

public void setInterceptors(List interceptors) {
this.interceptors = interceptors;
}

在before(Method method, Object[] params, Object target)�Ҏ��里：

        WebContext ctx = WebContextFactory.get();//唯一被DWR污染的地�?br />       HttpSession session = ctx.getSession();
       AopContext context = new AopContext();        context.setSession(session);
       for(Iterator it = interceptors.iterator(); it.hasNext();){
           IInterceptor interceptor = (IInterceptor) it.next();
           interceptor.execute(context);
       }

IInterceptor�Q?/font>

public interface IInterceptor {
public void execute(AopContext context);
}

AopContext��׃��必脓出来了，随自已定义些什么属性，不过��内�|�了一个Map�Q�用来保存数据�Ş了�?/font>

下面来看看配�|�文�Ӟ��

      net.jf.ajax.business.BookManager






        dwrAdvisor








            .*.*

��?�q�样�Q�在配置DWR的配�|�文件时�Q�配�|?lt;creator>时��用Spring的Creator��可以直接��用上面的Service了。当 DWR�q�程��h��Ӟ��在配�|�范围内的方法的调用都会被主拦截器拦截，�q�且遍历、执行所有子拦截器。原有的Service不需要改动，只需要多加一�?Spring的配�|�文�Ӟ��原有的Service再加一层Aop的轻�U��?/font>

�q�是一�U�实现方法。如果有别的�Ҏ��让DWR更安全、有效，请一定告知。：�Q?

艑ְ� 2006-05-24 00:26 发表评论

艑ְ� — Tue, 09 May 2006 17:18:00 GMT

使用DWR做Remote�Q�完全绕�q�传�l�的MVC框架�Q�如Struts、Webwork�Q�单用一个DWRServlet来做控制器。DWR向客��L�� 暴露了服务端的服务接口，很有可能有没有�Q何限制的情况下被客户端调用所暴露的接口。如果��用传�l�的MVC框架�Q�可以很方便地解军_��多问题诸如��n份验证�?权限控制�{�。而DWR提供的功能是�l�客��L��暴露服务接口。上面所涉及的问题却��有牉|��。不�q�，解决�Ҏ��q�是有的。其中之一��是使用AOP�Q�自已实��C��些拦截功能，例如�l�合Spring�Q��用DWR的Spring整合功能�Q�给客户端提供一个Spring的Bean�Q�而这个Bean是经�q�代理的 �Q�Proxy�Q�。实际上已经保证了��n份认证等动作完成了。而我们要多做的是�Q�写一些Spring的Bean来作拦截器。再在原有的服务上再加上一�?AOP。当�Ӟ��DWR对于安全的还是提供了些设施的�Q�基于J2EE的安全策略之上。感觉不是十分良好，所以没用，也没深入研究。：P

很多时候，在做�w�䆾验证及授权的时候可能会用到应用的环境，如ServletContext�Q�Session�{�。那么在DWR中的服务或拦截器需要用到Session�q�些东西的时候，获取是一件很��单的事。通常有两个办�?br /> 一、��用DWR的API。其实是一个静态的�Ҏ��Q�极其不推荐。所以示例也��免了�?br /> 二、让DWR自已注入需要的元素�Q�这里讲的元素仅限于�Q?/p>

HttpServletRequest
HttpServletResponse
HttpSession
ServletContext
ServletConfig

做法是在服务里定义方法的时候，把以上的元素作�ؓ参数。在�Ҏ��体内直接使用卛_��。而不必担心它的来源，来源是DWR会自已根据参数的�c�d��注入。在客户端调用的时候不需要提供这个参数。ServletContext之类的东西作为ThreadLocal的变量保存�v来的。简单的�C�Z��?/p>

1、服务代�?nbsp;

package net.jf.ajax.session; import javax.servlet.http.HttpSession; public class Store { public void setAttribute(String name,String value,HttpSession session){ session.setAttribute(name,value); } public String getAttribute(String name,HttpSession session){ return (String) session.getAttribute(name); } }

2、spring配置文�g

3、dwr.xml

�?上的代码及配�|�文件可以达到目的：DWR与Spring�l�合�Q�DWR直接使用Spring��理的Bean作�ؓ服务�Q�当�Ӟ��受Spring��理的Bean�?能一炚w��不减�Q�复杂的如有着事务��理的Bean同样有用�?而且��管是Spring��理的Bean�Q�方法的参数中有Servlet相关的参敎ͼ�DWR同样自动注入�?/font>

现在去调试页面看看我们暴露的接口及效果如何！在调试页面找到store的服务，点击�q�去�Q�可以见到暴露的�Ҏ��有两个：

一个是SetAttribute("","",AUTO)�Q�第三个参数表明自动注入�Q�客��L��只需要提供前两个参数卛_��?/font>

一个是GetAttribute�Q?ldquo;”�Q�AUTO�Q�，�W�二个参数表明自动注入，客户只需要提供一个名字参数取值即可�?/font>

在测试页面提供的输入框中��试两个函数�Q�SetAttribute填入name,jeff提交成功�Q�在GetAttribute函数中填入name获得一个返回��|��正是jeff。至此，��试成功�Q?

艑ְ� 2006-05-10 01:18 发表评论