SSH框架下访问控制设计方案
转载请注明出处：jiq•钦's technical Blog
在SSH框架之下，最基本的是要实现访问控制。
主要思想就是使用拦截器控制action的访问，使用jsp代码控制jsp页面的访问。
拦截器需要指定拦截除了LoginAction和LogoutAction之外的所有Action
一般是声明一些拦截器拦截器，然后将某些拦截器组合成拦截器栈：
<!-- 定义拦截器，在用户访问受保护资源之前判断其是否登录 -->
<interceptors>
<!-- 拦截器 -->
<interceptor name="authen" class="com.jsjl.interceptor.LoginAuthenInterceptor"/>
<!-- 定义一个拦截器栈 -->
<interceptor-stack name="securityStack">
<interceptor-ref name="defaultStack"/>
<interceptor-ref name="authen"/>
</interceptor-stack>
</interceptors>
然后在Action配置中制定需要使用的拦截器：
<action name="yndwAction"class="YNDWAction">
<result name="success">yndw_1.jsp</result>
<result name="error">error.jsp</result>
<interceptor-refname=”securityStack” />
</action>
但是不可能在所有的Action配置中都加上
<interceptor-ref name=”securityStack” />
解决方案：
1 Action访问控制
新建1+1+n个包
第一个包声明登入登出等不需要拦截的Action：
<package name="login"extends="struts-default" namespace="/">
<!-- class属性对应IoC容器中的BeanId,因为struts将Action托管给Spring了 -->
<action name="login" class="LoginAction">
<result name="yndw"type="redirectAction">
<param name="actionName">yndwAction</param>
<param name="namespace">/</param>
</result>
<!—因为使用了struts2的框架验证，所以必须配置input接过类型，验证失效时候
返回input结果，若找不到input类型，就会尝试用action的class去创建一个
action，导致action未知类型的错误 -->
<result name="input">/login.jsp</result>
</action>
<action name="logoutAction" class="LogoutAction">
<result name="success">login.jsp</result>
</action>
</package>
第二个包声明拦截器，然后定义为默认拦截器：
<package name="interceptor"extends="struts-default" namespace="/">
<!-- 定义拦截器，在用户访问受保护资源之前判断其是否登录 -->
<interceptors>
<!-- 拦截器 -->
<interceptor name="authen" class="com.jsjl.interceptor.LoginAuthenInterceptor" />
<!-- 定义一个拦截器栈 -->
<interceptor-stack name="securityStack">
<interceptor-ref name="defaultStack" />
<interceptor-ref name="authen" />
</interceptor-stack>
</interceptors>
<!-- 在这个包中声明一个默认的拦截器对于action资源直接访问，使用拦截器，对于页面直接访问，页面中判断-->
<default-interceptor-ref name="securityStack"/>
<!-- 如果一个结果在多个Action或者拦截器中使用，就应该将其配置为全局结果，注意类型为redirect -->
<global-results>
<result name="login"type="redirect">/login.jsp</result>
</global-results>
</package>
然后其他N和包，都继承自第二个包，这样就默认继承了第二个包的默认的拦截器：
<package name="XXX"extends="interceptor" namespace="/">
就这样，访问除了第一个包中的所有Action都会通过拦截器判断用户是否登入，否则转到登陆页面。
拦截器是这样的：
public class LoginAuthenInterceptor extends AbstractInterceptor {
public String intercept(ActionInvocation invocation) throws Exception {
ActionContext context = ActionContext.getContext();
Map session = context.getSession();
Object user = session.get("isLogin");
if(user == null){
return"login";
}
return invocation.invoke();
}
}
2 JSP访问控制
然后对于jsp页面的访问控制，只需要在页面开始加上以下几句即可：
<%
Object isLogin = session.getAttribute("isLogin");
if(isLogin == null){
response.sendRedirect("login.jsp");
}
%>