WebX框架的页面授权

WebX框架的页面授权

什么是页面授权，简单来说就是对于一个Web应用程序里，哪些页面可以被哪些人在什么情况下访问进行限制。举个简单的例子，有些页面只有用户登录以后才能访问，而另外一些页面无论是否用户登录都能访问。那在这种情况下就需要对页面进行授权管理。

最简单的对页面进行授权管理的方式，就是在每个页面的访问逻辑前都加一段代码去判断是否登录了。如果没有登录就跳转到登录页面，如果登录了就放过。但是这样的检查每个页面都要写一遍太麻烦，即便是携程一个函数或者逻辑，每个地方拷贝一下也是令人崩溃的事情。

当然幸好Java提供了Servlet Filter，使用这个东西会更方便一点。

对于WebX来说，里面对于页面授权的管理提供了一定的支持。尽管不是非常好，但也在一定程度上减少了实现页面授权的实现复杂度。

WebX的页面授权是假定用户实现的Web App使用了多用户以及角色来管理页面的权限。具体的就是有多个用户，每个用户拥有多种角色。可以根据用户来管理页面授权，也可以根据用户对应的角色来管理页面授权。

要使用WebX的页面授权机制，简单的分为如下两个步骤：

1.实现在一个处理回调类，处理对于页面访问授权（WebX会回调对应的方法）。
2.在项目对应的模块的webx-XX.xml中添加，对应的规则。

我们首先来说明一下怎么去实现这个回调类。该类必须满足如下两个条件：
1.继承自 com.alibaba.citrus.springext.support.BeanSupport 类。
2.且必须同时实现com.alibaba.citrus.turbine.pipeline.valve.PageAuthorizationValve.Callback接口。
3.必须自定义一个数据类，作为泛型参数。该参数由该类自己构造，并在构造完成以后，交给WebX（构造改参数的对象可以在任何地方，但是返回该对象给WebX是在onStart方法），在WebX回调该类的方法的时候，用作参数。其作用在于记录用户的回调类需要的一些状态信息。

下面以一个具体的例子来看一下，实现。

public class PageAccessCheck extends BeanSupport implements Callback<PageAccessCheck.Status> {
    private static final Logger log = LoggerFactory.getLogger(PageAccessCheck.class);
    private String userName;
    /* (non-Javadoc)
     * @see com.alibaba.citrus.turbine.pipeline.valve.PageAuthorizationValve.Callback#getUserName(java.lang.Object)
     */
    @Override
    public String getUserName(Status status) {
        return userName;
    }

    /* (non-Javadoc)
     * @see com.alibaba.citrus.turbine.pipeline.valve.PageAuthorizationValve.Callback#getRoleNames(java.lang.Object)
     */
    @Override
    public String[] getRoleNames(Status status) {
        if (userName != null) {
            return new String[] { "admin"};
        }
        return null;
    }

    /* (non-Javadoc)
     * @see com.alibaba.citrus.turbine.pipeline.valve.PageAuthorizationValve.Callback#getActions(java.lang.Object)
     */
    @Override
    public String[] getActions(Status status) {
        // TODO Auto-generated method stub
        return null;
    }

    /* (non-Javadoc)
     * @see com.alibaba.citrus.turbine.pipeline.valve.PageAuthorizationValve.Callback#onStart(com.alibaba.citrus.turbine.TurbineRunData)
     */
    @Override
    public Status onStart(TurbineRunData rundata) throws Exception {
        HttpSession session = rundata.getRequest().getSession();
        userName = (String) session.getAttribute("userName");
        return new Status(rundata);
    }

    /* (non-Javadoc)
     * @see com.alibaba.citrus.turbine.pipeline.valve.PageAuthorizationValve.Callback#onAllow(java.lang.Object)
     */
    @Override
    public void onAllow(Status status) throws Exception {
        // TODO Auto-generated method stub
        log.debug("Acess allowed!");
    }

    /* (non-Javadoc)
     * @see com.alibaba.citrus.turbine.pipeline.valve.PageAuthorizationValve.Callback#onDeny(java.lang.Object)
     */
    @Override
    public void onDeny(Status status) throws Exception {
        // TODO Auto-generated method stub
        log.error("Acess Denied!");
    }

    static class Status {
        private final TurbineRunData rundata;

        public Status(TurbineRunData rundata) {
            this.rundata = rundata;
        }
    }

}

这是我的一个简单的实现，类的名称可以按照自己的需要来命名。在访问的页面被拒绝的时候，打印错误日志信息。在通过授权验证的时候，同样打印日志信息。

WebX再每次执行页面授权验证的时候，会先构造一个这个PageAccessCheck对象，并调用对象的onStart方法。onStart方法的返回值被WebX持有，作为回调onAllow和onDeny及其他几个方法的参数。

在这个简单的实现里，AccessCheck.Status仅仅是作为了TurbineRunData的一个wrapper对象。如果你有任何需要的其他信息，也可以放入AccessCheck.Status类。

假设你需要在页面被拒绝访问的时候，不但要记录日志，还要跳转到某个特定的页面上，那就在onDeny里面添加自己的逻辑。

除了onAllow跟onDeny方法意外，还有几个方法，需要关注一下：
1. getUserName，该方法由WebX调用，获得当前登录的用户名。如果没有用户登录，可以返回null。那么WebX就会认为该用户是匿名用户。
2. getRoleNames，该方法由WebX调用，获得当前登录的用户的角色。

WebX调用上述两个方法，获取当前用户的名称及角色，然后根据对应模块下的访问规则，来决定对应的页面到底是否可以访问，如果可以访问，就回调onAllow方法，否则回调onDeny方法。

上面的回调类实现以后，怎么配置让WebX项目使用呢？
1.在项目对应的模块的pipeline.xml中增加一个对应的valve。大多数情况下，这些模块都是公用WEB-INF/common/pipeline.xml文件。如果该模块使用自己的pipeline.xml定义。就增加到自己的pipeline.xml中。

具体增加的语句就是:
    <pl-valves:pageAuthorization callbackClass="PageAccessCheck" />
注意：该条语句一般位于<pl-valves:checkCsrfToken />之后，<pl-valves:loop>语句之前。

2.在页面对应模块的配置文件（比如模块叫XX，那么对应的文件为webx-XX.xml）中增加如下配置（确保在标签<beans:beans>与</beans:beans>之间）：

    <services:page-authorization default="deny">
        <match target="/input">
            <grant user="anonymous">
                <deny>*</deny>
            </grant>
        </match>
        <match target="/input">
            <grant role="admin">
                <allow>*</allow>
            </grant>
        </match>
        <match target="/login">
            <grant user="anonymous">
                <allow>*</allow>
            </grant>
        </match>
        <match target="/">
            <grant user="anonymous, *">
                <allow>*</allow>
            </grant>
        </match>
    </services:page-authorization>

这里的配置，是我的应用的，请根据自己的实际需要调整规则。每条规则对应一条match标签及内容。
    这里先以我的上述规则作为例子，来解释一下规则的语法。

每条规则都以match标签来代表，match标签的target属性是用来匹配具体的访问路径的，这个路径是从Web App的context path之后开始的。
    规则的具体使用，描述起来比较麻烦。就以上述三条规则来说明一下，理解了以后，应该可以灵活使用满足自己的需求了。

先看一下<services:page-authorization default="deny">这句话，这句话的意思是，本模块里面的页面默认全都是不允许访问的。除非是有具体的规则允许，这是最严格，也是最安全的配置。

来看第一条规则，该规则，说的是，对于/input这个页面（URL），对于anonymous用户是拒绝的。还记得我们前面提及的getUserName方法吗？当该方法返回null值的时候，WebX就使用的是 anonymous用户。实际该条规则是冗余的，不需要的。为什么呢？因为我们的默认规则是deny，所以所有deny的规则都是多余的，和不必要的。

来看第二条规则，该规则是说对于/input，对于所有角色为admin的用户，都是允许的。

第三条规则时说，对于／login，对于匿名用户是允许的。为什么呢？如果匿名用户不允许访问login，那么匿名用户就永远没有机会变成非匿名用户了. :)
    第四条规则，是说对于该应用下的所有页面，对于匿名用户和其他用户，都是允许的。这似乎是跟default="deny"是矛盾的？确实是矛盾的，写在这里仅仅是为了演示规则的写法。

那么你可能有个疑问，就是如果两条规则矛盾的时候，会发生什么？WebX来说，如果某个页面（URL）同时满足多条规则，那么deny的规则优先执行。