Vincent

注：本文是由 馬嘉楠 翻譯的javaworld.com上的一篇名為《Solving the logout problem properly and elegantly》的文章，原文請參看 Solving the logout problem properly and elegantly 。
花了2天翻譯過后才發(fā)現(xiàn)wolfmanchen已經(jīng)捷足先登了，而且翻譯得很準確（比我的好，^+^）我進行了修改，在此謝謝wolfmanchen。
文中所有示例程序的代碼可以從javaworld.com中下載，文章后面有資源鏈接。

我看過之后覺得很好，希望對你也有所幫助！


?????????????????????????????正確優(yōu)雅的解決用戶退出問題
?????????????????????????????????????????? ------JSP和Struts解決方案

摘要

在一個有密碼保護的Web應用當中，正確妥善的處理用戶退出過程并不僅僅只需要調(diào)用HttpSession對象的invalidate()方法，因為現(xiàn)在大部分瀏覽器上都有后退(Back)和前進(Forward)按鈕，允許用戶后退或前進到一個頁面。在用戶退出一個Web應用之后，如果按了后退按鈕，瀏覽器把緩存中的頁面呈現(xiàn)給用戶，這會使用戶產(chǎn)生疑惑，他們會開始擔心他們的個人數(shù)據(jù)是否安全。

實際上，許多Web應用會彈出一個頁面，警告用戶退出時關閉整個瀏覽器，以此來阻止用戶點擊后退按鈕。還有一些使用JavaScript，但在某些客戶端瀏覽器中這卻不一定起作用。這些解決方案大多數(shù)實現(xiàn)都很笨拙，且不能保證在任何情況下都100%有效，同時，它還要求用戶有一定的操作經(jīng)驗。

這篇文章以簡單的程序示例闡述了正確解決用戶退出問題的方案。作者Kevin Le首先描述了一個理想的密碼保護Web應用，然后以示例程序解釋問題如何產(chǎn)生并討論解決問題的方案。文章雖然是針對JSP進行討論闡述，但作者所闡述的概念很容易理解而且能夠為其他Web技術所采用。最后最后，作者Kevin Le用Jakarta Struts更為優(yōu)雅地解決用戶退出問題。文中包含JSP和Struts的示例程序 (3,700 words; September 27, 2004)




大部分Web應用不會包含像銀行賬戶或信用卡資料那樣機密的信息，但是一旦涉及到敏感數(shù)據(jù)，就需要我們提供某些密碼保護機制。例如，在一個工廠當中，工人必須通過Web應用程序訪問他們的時間安排、進入他們的培訓課程以及查看他們的薪金等等。此時應用SSL(Secure Socket Layer)就有些大材小用了(SSL頁面不會在緩存中保存，關于SSL的討論已經(jīng)超出本文的范圍)。但是這些應用又確實需要某種密碼保護措施，否則，工人（在這種情況下，也就是Web應用的使用者）就可以發(fā)現(xiàn)工廠中所有員工的私人機密信息。

類似上面的情況還包括位于公共圖書館、醫(yī)院、網(wǎng)吧等公共場所的計算機。在這些地方，許多用戶共同使用幾臺計算機，此時保護用戶的個人數(shù)據(jù)就顯得至關重要。 同時應用程序的良好設計與實現(xiàn)對用戶專業(yè)知識以及相關培訓要求少之又少。

讓我們來看一下現(xiàn)實世界中一個完美的Web應用是怎樣工作的：
1. 用戶在瀏覽器中輸入URL，訪問一個頁面。
2. Web應用顯示一個登陸頁面，要求用戶輸入有效的驗證信息。
3. 用戶輸入用戶名和密碼。
4. 假設用戶提供的驗證信息是正確的，經(jīng)過了驗證過程，Web應用允許用戶瀏覽他有權訪問的區(qū)域。
5. 退出時，用戶點擊頁面的退出按鈕，Web應用顯示確認頁面，詢問用戶是否真的需要退出。一旦用戶點擊確定按鈕，Session結(jié)束，Web應用重新定位到登陸頁面。用戶現(xiàn)在可以放心的離開而不用擔心他的信息會被泄露。
6. 另一個用戶坐到了同一臺電腦前。他點擊后退按鈕，Web應用不應該顯示上一個用戶訪問過的任何一個頁面。
事實上，Web應用將一直停留在登陸頁面上，除非第二個用戶提供正確的驗證信息，之后才可以訪問他有權限的區(qū)域。

通過示例程序，文章向您闡述了如何在一個Web應用中實現(xiàn)上面的功能。




一. JSP samples

為了更為有效地向您說明這個解決方案，本文將從展示一個Web應用logoutSampleJSP1中碰到的問題開始。這個示例代表了許多沒有正確解決退出過程的Web應用。logoutSampleJSP1包含一下JSP頁面：login.jsp,? home.jsp,? secure1.jsp,? secure2.jsp,? logout.jsp,? loginAction.jsp,?和 logoutAction.jsp。其中頁面home.jsp,? secure1.jsp,? secure2.jsp, 和 logout.jsp是不允許未經(jīng)認證的用戶訪問的，也就是說，這些頁面包含了重要信息，在用戶登陸之前或者退出之后都不應該顯示在瀏覽器中。login.jsp頁面包含了用于用戶輸入用戶名和密碼的form。logout.jsp頁面包含了要求用戶確認是否退出的form。loginAction.jsp和logoutAction.jsp作為控制器分別包含了登陸和退出動作的代碼。

第二個Web示例應用logoutSampleJSP2展示了如何糾正示例logoutSampleJSP1中的問題。但是第二個示例logoutSampleJSP2自身也是有問題的。在特定情況下，退出問題依然存在。

第三個Web示例應用logoutSampleJSP3對logoutSampleJSP2進行了改進，比較妥善地解決了退出問題。

最后一個Web示例logoutSampleStruts展示了JakartaStruts如何優(yōu)雅地解決退出問題。

注意：本文所附示例在最新版本的Microsoft Internet Explorer (IE), Netscape Navigator, Mozilla, FireFox和Avant瀏覽器上測試通過。



二. Login action

Brian Pontarelli的經(jīng)典文章 《J2EE Security: Container Versus Custom》 討論了不同的J2EE認證方法。文章同時指出，HTTP協(xié)議和基于form的認證方法并不能提供處理用戶退出問題的機制。因此，解決方法便是引入用戶自定義的安全實現(xiàn)機制，這就提供了更大的靈活性。

在用戶自定義的認證方法中，普遍采用的方法是從用戶提交的form中獲得用戶輸入的認證信息，然后到諸如LDAP (lightweight directory access protocol)或關系數(shù)據(jù)庫(relational database management system, RDBMS)的安全域中進行認證。如果用戶提供的認證信息是有效的，登陸動作在HttpSession對象中保存某個對象。HttpSession存在著保存的對象則表示用戶已經(jīng)登陸到Web應用當中。為了方便起見，本文所附的示例只在HttpSession中保存一個用戶名以表明用戶已經(jīng)登陸。清單1是從loginAction.jsp頁面中節(jié)選的一段代碼以此講解登陸動作：




Listing 1
//...
//initialize RequestDispatcher object; set forward to home page by default
RequestDispatcher rd = request.getRequestDispatcher( "home.jsp" );

//Prepare connection and statement
rs = stmt.executeQuery( "select password from USER where userName = '" + userName + "'" );
if (rs.next()) {
//Query only returns 1 record in the result set;
//Only 1 password per userName which is also the primary key
????if (rs.getString( "password" ).equals(password)) { //If valid password
??????? session.setAttribute( "User" , userName); //Saves username string in the session object
??? }
??? else { //Password does not match, i.e., invalid user password
?????? ?request.setAttribute( "Error" , "Invalid password." );

?????? ?rd = request.getRequestDispatcher( "login.jsp" );
??? }
} //No record in the result set, i.e., invalid username
??? else {

??????? request.setAttribute( "Error" , "Invalid user name." );
??????? rd = request.getRequestDispatcher( "login.jsp" );
??? }
}

//As a controller, loginAction.jsp finally either forwards to "login.jsp" or "home.jsp"
rd.forward(request, response);
//...