vai trò động trên máy chủ Java EE

Question

Tôi muốn quản lý người dùng và vai trò trong một ứng dụng chuyên dụng. Ví dụ một người dùng của ứng dụng này ("customerX boss") có thể tạo một vai trò mới "customerX employee". Nếu một nhân viên truy cập vào máy chủ ứng dụng Java EE (GlassFish 3), anh ta sẽ nhận vai trò "employeeX employee".

Nghe có vẻ đơn giản, nhưng nó không được hỗ trợ bởi Java EE, bởi vì các nhóm được ánh xạ tới vai trò lúc khởi động và vai trò trong ứng dụng là tĩnh.

Cách tốt nhất để quản lý vai trò người dùng khi chạy trong môi trường Java EE (6) là gì?

Answer 1

Bảo mật khai báo trong Java EE thực sự không phù hợp với các yêu cầu đó. Vấn đề an ninh có thể được chia làm hai:

• xác thực
• uỷ quyền

tôi đã yêu cầu tương tự một lần. Chúng tôi đã sử dụng xác thực được tích hợp sẵn để có tập hợp chính và dựa vào các cơ chế đăng nhập Java EE mặc định. Nhưng chúng tôi đã kết thúc việc quản lý phần ủy quyền theo cách thủ công ở cấp ứng dụng.

Thật vậy, ngay cả những vai trò đó sẽ được nạp và kết hợp với hiệu trưởng (isUserInRole cho web và isCallerInRole cho EJB) cần phải được quy định tại web.xml hoặc ejb.xml mà không cung cấp đủ linh hoạt. Sau đó chúng tôi đã tải các vai trò theo cách thủ công (theo hiệu trưởng) từ LDAP hoặc ActiveDirectory. Sau đó chúng tôi sử dụng bộ chặn EJB3 và bộ lọc Servlet để tự mình thực hiện kiểm tra bảo mật.

Tuy nhiên, tôi khuyên bạn nên tuân theo điều khiển truy cập dựa trên vai trò (RBAC) và không thực hiện điều gì đó lạ mắt hơn. Có một số khung công tác có thể giúp giải quyết RBAC sản xuất trong nước.

Chúng tôi cũng đã xem JSecurity và Acegi Security và chúng có vẻ thú vị.