FrontController with RequestFactory in GWT

Question

我正在使用GWT的RequestFactory。一切都很好。我有一个RequestContext接口指向我的DAO方法。

现在我想在调用DAO之前实现某种安全检查。我想到的第一件事是使用FrontController并将安全性集中在其中，但我不知道如何使用RequestFactory实现它。有什么想法吗?

Answer 1

如果要测试用户是否经过身份验证，可以在服务器端使用servlet过滤器，在客户端使用自定义RequestTransport。参见https://github.com/tbroyer/gwt-maven-archetypes上的guice-rf-activity原型示例。

您还可以通过使用自定义ServiceLayerDecorator并实现invoke方法来检查方法级别，当用户未被授权/身份验证时调用report()(并在客户端处理onFailure)。我实现了这样一个东西，基于服务方法或类上的@RolesAllowed注释来授权用户:https://gist.github.com/tbroyer/6091533

Answer 2

我是这样实现安全检查的:

在服务器端，我检查每个RequestFactory请求是否与先前登录的用户相关联。要做到这一点，web.xml文件(在war/WEB-INF目录中)必须有servlet类的映射。以下是web.xml文件中的条目:

<servlet>
  <servlet-name>requestFactoryServlet</servlet-name>
  <servlet-class>org.greatlogic.rfexample2.server.RFERequestFactoryServlet</servlet-class>
  <init-param>
    <param-name>symbolMapsDirectory</param-name>
    <param-value>WEB-INF/classes/symbolMaps/</param-value>
  </init-param>
</servlet>
<servlet-mapping>
  <servlet-name>requestFactoryServlet</servlet-name>
  <url-pattern>/gwtRequest</url-pattern>
</servlet-mapping>

RFERequestFactoryServlet类包含以下代码:

public class RFERequestFactoryServlet extends RequestFactoryServlet {
@Override
protected void doPost(final HttpServletRequest request, final HttpServletResponse response)
  throws IOException, ServletException {
  if (!userIsLoggedIn(request)) {
    response.sendError(HttpServletResponse.SC_UNAUTHORIZED);
  }
  else {
    super.doPost(request, response);
  }
}
private boolean userIsLoggedIn(final HttpServletRequest request) {
  boolean result = false;
  HttpSession session = request.getSession();
  if (session != null) {
    User user = (User)session.getAttribute("User");
    result = user != null;
  }
  return result;
}
}

在客户端，我需要拦截每个RequestFactory响应来检查SC_UNAUTHORIZED错误。必须告诉RequestFactory对象在RequestFactory#initialize调用中使用特定的RequestTransport，如下所示:

MyRequestFactory requestFactory = GWT.create(MyRequestFactory.class);
requestFactory.initialize(eventBus, new RFERequestTransport());

我的RFERequestTransport类扩展了DefaultRequestTransport类:

public class RFERequestTransport extends DefaultRequestTransport {
private final class RFERequestCallback implements RequestCallback {
private RequestCallback _requestCallback;
private RFERequestCallback(final RequestCallback requestCallback) {
  _requestCallback = requestCallback;
}
@Override
public void onError(final Request request, final Throwable exception) {
  _requestCallback.onError(request, exception);
}
@Override
public void onResponseReceived(final Request request, final Response response) {
  if (response.getStatusCode() == Response.SC_UNAUTHORIZED) {
    // the login processing goes here
  }
  else {
    _requestCallback.onResponseReceived(request, response);
  }
}
} // end of the RFERequestCallback class
@Override
protected RequestCallback createRequestCallback(final TransportReceiver receiver) {
  return new RFERequestCallback(super.createRequestCallback(receiver));
}
}

当RequestFactory创建一个请求回调时，它调用我的方法，这创建了我自己的RequestCallback版本。如果用户登录(由servlet确定)，那么它只执行正常的RequestFactory处理;否则，我将与用户一起完成登录过程。登录过程的一部分涉及与服务器通信以验证登录…如果登录成功，那么我在服务器上创建一个对象，并在"User"属性中存储对它的引用——然后在servlet类的userIsLoggedIn方法中检查。

在web.xml中设置一个过滤器，以便过滤每个RF请求以验证会话。

<filter>
  <filter-name>AuthFilter</filter-name>
  <filter-class>my.namespace.AuthFilter</filter-class>
</filter>
<filter-mapping>
  <filter-name>AuthFilter</filter-name>
  <url-pattern>/gwtRequest</url-pattern>
</filter-mapping>

这里你有一个例子类，检查某个参数是否在会话中，可以在登录过程中设置到你的应用程序，这只是一个例子，你可以使用你自己的机制。

  public class AuthFilter implements Filter {
    public void doFilter(ServletRequest servletRequest,
        ServletResponse servletResponse, FilterChain filterChain)
        throws IOException, ServletException {
      HttpServletRequest req = (HttpServletRequest) servletRequest;
      HttpServletResponse resp = (HttpServletResponse) servletResponse;
      if (req.getSession().getAttribute("VALID_SESSION") == null) {
        resp.sendError(HttpServletResponse.SC_UNAUTHORIZED);
        return;
      }
      if (null != filterChain) {
        filterChain.doFilter(req, resp);
      }
    }
  }