基于 拦截器实现细粒度的基于角色的存取控制
文章转自:http://www.ibm.com/developerworks/cn/java/j-lo-struts2-rbac/
Struts 2 本身提供了一个 org.apache.struts2.interceptor.RolesInterceptor 拦截器以方便开发人员来实现存取控制。但该拦截器的实现是建立在 J2EE 容器提供的存取控制机制之上的。容器提供的存取控制实现粒度较粗，往往无法满足多数应用的需求。在许多项目中，用户所应该具有的权限是由多种因素而决定，往往在不同的上下文中拥有不同的角色。例如在一个社交项目中，一个用户会在不同的社团里拥有不同的角色，如成员，管理员，来宾等。他的具体角色取决于当前所处社团的标识符。另外，用户的角色还和他所要操作的资源类型有关。比如，在这个社交站点中，用户可以创建自己的日程表，把这个日程表共享给其他用户或者委托给其他人管理。这样对日程表这种类型资源，就会有创建者，阅览者和管理者三种角色。在更复杂应用中，用户的角色可能还会受更多因素决定，这就要求存取控制要有更细的粒度，能够处理更加复杂的逻辑。
为了满足这个需求，在基于 Struts 2 的 Web 应用开发中，我们也可以利用拦截器来实现一个应用托管的基于角色的存取控制（RBAC, Role-Based Access Control）系统， 让其能够管理更细粒度的资源。该系统在 Struts 2 的配置文件中定义 Action 可以由那些角色来调用，即对角色进行授权。拦截器在 Action 调用之前，对当前用户进行权限认证来决定 Action 是否应该被执行。
下面我们就基于 Hibernate+Spring+Struts2 框架来完成这个系统的实现。为了使系统结构更加清晰易于维护，我们将这个系统分为域模型层、持久层和服务层来实现。这种分层结构是目前 Web 开发广为使用的一种模式。
?
?
然后需要在 Struts 配置文件中对需要进行存取控制的 Action 进行配置。首先定义我们实现的拦截器，并把其加到拦截器栈中。在 <interceptors> …… </interceptors> 中添加下面的代码。
?
现在我们可以将 RBAC 拦截器添加到任意的 interceptor-stack 中，或者直接配置到任意的 Action 。添加下面清单中的内容到 Struts 2 配置文件中，将能够对在一个日程表中删除会议进行控制。
清单 8
?
至于用户角色的分配，我们可以定义一个 Action 通过 RoleService 来创建。如下面清单 9 的配置和清单 10 的代码实现了一个 Action 允许日程表的创建者来分配角色给其它人。
清单 9
清单 10
public class AssignCalendarRoleAction extends ActionSupport { private RoleService roleService; private Long userId = 0; private String userRole = "reader"; private Long id = 0; public AssignCalendarRoleAction (RoleService roleService) { this.roleService = roleService; } public String execute() { roleService.setUserRole(userId, userRole, "calendar", id); return SUCCESS; } }?
结束语
本文介绍了如何在 Spring+Hibernate+Struts2 框架中实现一个应用托管的 RBAC 系统，不同于容器提供的 RBAC，它能够更加细粒度地对各种资源进行存取控制。这里的实现非常简单，还需要许多地方可以进行扩展和完善（比如对用户组的支持），希望能对读者起到抛砖引玉的作用。
?