锁定时的 EJB 3.1 身份验证

Question

我有一个无状态 bean，我希望只允许名为 "TestUser"

的用户访问

我已经设置了如下所示的注释：

@Stateless
@DeclareRoles("TestUser")
public class LibraryBean implements LibraryIFace {

    @Override
    public void setName(String name){
        sb.setName( name );
    }

    @Override
    public String getName(){
        return sb.getName();
    }

    @EJB
    private SingIFace sb;
}

servlet 锁定 bean 并返回名称。

我希望 servlet 必须以 TestUser 身份登录，然后才能从 bean 获取名称。 调用 servlet 的真实用户不必看到任何消息框或插入用户/密码。

这可能吗？

更新 我的意思是我需要 EJB 将检查连接以允许拒绝用户/psw 对的基础，或类似的东西。

Answer 1

您可以使用拦截器来完成工作，这比在 bean 调用中检查角色要干净得多。

你的@interface 可能是这样的：

@InterceptorBinding
@Target({METHOD, TYPE})
@Retention(RUNTIME)
public @interface Secure {
   @NonBinding String[] rolesAllowed() default {};
}

然后设置并在您使用 @Secure 注释方法时调用建议，该方法检查 HttpSession 是否有所需的角色，如果找不到所需的角色，则返回登录页面。

1.- 注册拦截器

<beans xmlns="http://java.sun.com/xml/ns/javaee" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="
http://java.sun.com/xml/ns/javaee
http://java.sun.com/xml/ns/javaee/beans_1_0.xsd">

<interceptors>
        <class>full_class_name_here</class>
    </interceptors>    

2.- 实现拦截器

@Secure
@Interceptor
public class SecurityInterceptor implements Serializable{

/**
 * 
 */
private static final long serialVersionUID = 66355064016557358L;

@AroundInvoke
public Object checkInvocation(InvocationContext joinPoint) throws Exception {

更新：最后，你应该从你的拦截器访问 HTTP 会话，这有点麻烦，可以在这里描述： Is there a way to access HttpSession from EJB module?