使用过滤器控制访问权限

首先说下什么是过滤器呢，其实就是在网页请求和Servlet之间添加了一个过滤网。通过设定一些规则，符合规则的请求呢就通过了过滤器，到达了Servlet；那不符合规则的请求呢，过滤器就拦截下来，不让它继续访问了。

感觉挺高级啊，那么是如何实现的呢，其实很简单哦，跟Servlet差不多。Servlet通过继承HttpServlet具备了处理Http请求的功能，而过滤器呢，通过实现Filter接口，具备了成为一个合格过滤器的证书。然后，Servlet通过web.xml定义了它响应什么样的请求(比如/ActionServlet)，而过滤器也是通过web.xml定义了它要过滤什么样的请求。

哎，怎么说来说去，感觉过滤器和Servlet好像啊。哈哈，让我们来看看Filter接口的户口吧：javax.servlet.Filter。而Servlet户口为：javax.servlet.http.HttpServlet，好像可以说，他俩是叔侄关系啊。怪不得、怪不得。

好的，现在我们来在作业管理系统实现下过滤器，首先在servlet包下新建SessionFilter类（主要是针对Session进行过滤，保证没登录的用户无法访问网站功能），然后实现Filter接口，并实现接口规范的方法。

 package filter;
import java.io.IOException;
import javax.servlet.*;
public class SessionFilter implements Filter{
    @Override
    public void destroy() {
    }
    /**
     * 核心过滤方法
     */
    @Override
    public void doFilter(ServletRequest request, ServletResponse response,
            FilterChain chain) throws IOException, ServletException {
        System.out.println("SessionFilter.doFilter");//用于测试
    }
    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
    }
}

OK，在web.xml配置SessionFilter拦截的规则，意思应该挺明显了：有个叫SessionFilter的过滤器，对应的类是servlet包下的SessionFilter类，过滤规则是/*，也就是说只要请求里面有/，不管/后面是啥，这个过滤器都会过滤。

 <filter>  
    <filter-name>SessionFilter</filter-name>  
    <filter-class>servlet.SessionFilter</filter-class>  
  </filter>  
  <filter-mapping>
    <filter-name>SessionFilter</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>

好的，我们已经配置了过滤器，重启TOM猫后访问登录页，有现象值得注意：

控制台输出SessionFilter.doFilter后网页一片空白，为啥？因为拦住了，那么怎么放行呢，如下：

 public void doFilter(ServletRequest request, ServletResponse response,
            FilterChain chain) throws IOException, ServletException {
        System.out.println("SessionFilter.doFilter");//用于测试
        chain.doFilter(request, response);
    }

在doFilter过滤方法中添加chain.doFilter(request, response);，这个语句可以理解为过滤器网啊，放过了一个请求，完事。

好的，如此以来，我们可以如此设计doFilter方法以便拦截不合法的请求了：

package servlet;
import java.io.IOException;

import javax.servlet.*;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import javax.servlet.http.HttpSession;
public class SessionFilter implements Filter{
    @Override
    public void destroy() {
    }
    /**
     * 核心过滤方法
     */
    @Override
    public void doFilter(ServletRequest request, ServletResponse response,
            FilterChain chain) throws IOException, ServletException {
        //获取代表用户请求、响应、会话的对象
        HttpServletRequest servletRequest = (HttpServletRequest) request;
        HttpServletResponse servletResponse = (HttpServletResponse) response;
        HttpSession servletSession = servletRequest.getSession();
        // 获得用户请求的URI
        String path = servletRequest.getRequestURI();
        //允许访问login.jsp和tip.jsp以及ActionServlet
        if((path.indexOf("/login.jsp")>-1)||(path.indexOf("/tip.jsp")>-1)||(path.indexOf("/ActionServlet")>-1)){
            chain.doFilter(request, response);
            return;
        //允许访问css文件和图片文件(如果不允许，那就看不到样式和图片了)
        }else if(path.contains(".css") || path.contains(".jpg")|| path.contains(".gif")|| path.contains(".png")){
            chain.doFilter(request, response);
            return;
        //允许访问js文件，注意不允许访问jsp文件！
        }else if(path.contains(".js")&&(!path.contains("jsp"))){
            chain.doFilter(request, response);
            return;
        }
        //除上述允许访问的之外，如果未登录报无权限错误
        if(((HttpServletRequest) request).getSession().getAttribute("session_user")==null){
            servletRequest.setAttribute("tipInfo", "无权限！");
            request.getRequestDispatcher("/tip.jsp").forward(request,response);
            return;
        }else{//如果已登录，则允许访问
            chain.doFilter(request, response);
            return;
        }

    }
    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
    }
}

意思就是，如果登录了，让你访问好了，如果没登录，就要限制你的访问。

OVER。