用定做标签库和配置文件实现对JSP页面元素的访问控制
日期：2014-05-16 浏览次数：20345 次
?????? 控制客户端访问是开发一个基于B/S的架构的系统的开发者必须考虑的问题。JSP或SERVLET规范的基于配置文件的安全策略对资源的控制是以文件为单 位的，即只可以定义某个视图全部可以或全部不能被访问。一个比较复杂的系统往往要要求对视图的一部分（如JSP页面里的一个按钮）提供访问控制，只允许被 某种角色的用户访问。如果采用可编程的安全策略，因为对用户角色和操作的定义在开发时不能定义，而且这种策略加大了程序员的工作量，它可能不是一种好的办 法。
?????? 我采用定制标签库和和配置文件来解决这个问题：把要权限控制的JSP页面元素如BUTTON，作为标签的内容。为受保护的内容起一个唯一的名称，把这个名称作为标签的一个属性。某个角色对某个页面元素或一组页面元素是否有权限，在XML配置文件中描述。
?
?????? 例如，下面的JSP页面有“详细”和“修改”两个按钮。
<%@ taglib uri="http://mytag" prefix="custTag" %>
<html>
<head>
<title>test</title>
</head>
<body >
<form name="form1" >
?? <table width="600" border="0" cellspacing="0" cellpadding="2" >
????? <tr>
?????? <td>
??????????? <custTag:JspSecurity elementName="employeedetail" >
????????????? <input type="button" name="detail"? value="详细" >
??????????? </custTag:JspSecurity>
??????????? <custTag:JspSecurity elementName="employeemodify" >
????????????? <input type="button" name="modify"? value="修改" >
??????????? </custTag:JspSecurity>
??????? </td>
????? </tr>
</table>
<br>
</form>
</body>
?
?????? 下面XML配置文件内容表示对角色为common的用户，只对名为employeedetail 的页面元素即“详细”按钮有权限，对角色为“admin”的用户，对名为employeedetail 和employeemodify的页面元素即两个按钮都有权限。
<?xml version="1.0" encoding="GB2312"?>
<security>
<htmlElement name="employeedetail" >
<roleName name="common" />
<roleName name="admin" />
</htmlElement>
<htmlElement name="employeemodify" >
<roleName name="admin" />
</htmlElement>
</security>
?
?????? 定制标签类JspSecurityTag继承了BodyTagSupport类。BodyTagSupport有一个变量bodyContent指向起始 标志和结束标志之间的内容。JspSecurityTag的私有静态变量roleList保存从XML文件中取到角色和页面元素的对应集合，私有变量 ElementName对应页面元素的名称。当解析该定制标签时，首先先取到页面元素的名称，再取到当前用户的角色，如果角色有该页面元素的权限，就显示 标签正文（即页面元素），否则不显示。
?
Pagekage com.presentation.viewhelper.JspSecurityTag;
?
import javax.servlet.jsp.tagext.*;
import javax.servlet.jsp.*;
import java.util.*;
import org.xml.sax.*;
import org.xml.sax.helpers.*;
import org.w3c.dom.*;
import java.io.*;
import javax.xml.parsers.*;
?
public class JspSecurityTag extends BodyTagSupport {
? //保存从XML文件中取到角色和页面元素的对应集合
? private static ArrayList roleList;
? //页面元素的名称
? private String elementName;
?
? public void setElementName(String str)
? {
??? this.elementName=str;
? }
?
? public int
