java基于过滤器和监听器的Web访问控制方案

一、前言

工作室马上要上马一个网站项目，其中涉及到对某些页面的访问控制问题。按照以前的做法，就是在每个页面的首部添加身份验证代码或者嵌入一个外部的身份验证代码页。这样做很容易造成重复劳动，且不易日后的代码维护。如果能用过滤器(Filter)和监听器(Listener)来做这样一个访问控制的系统的话，情况就会有比较大的改善。好，我们说干就干。
这此的东东的平台为Tomcat。

二、使用过滤器（Filter）对特定区域实行访问控制
首先当然是编写我们的主角，Filter。所谓Filter，也就是过滤器，其实就是一个夹在用户和常规Servlet或Jsp等之间的特殊的 Servlet，它对用户请求做特定的操作，然后再将请求转发到常规的Servlet或Jsp等处理模块。这就给了我们一个有效的在用户请求到达处理模块之前对进行验证的措施。好的，让我们来看看Filter的代码：
package net.ziqiang.commons;

import java.io.*;

import javax.servlet.*;
import javax.servlet.http.*;

public class CheckUser implements Filter...{
private FilterConfig filterConfig=null;

public void doFilter(ServletRequest request,
ServletResponse response,
FilterChain chain)
throws IOException, ServletException...{
HttpServletRequest request2=(HttpServletRequest)request;
HttpServletResponse response2=(HttpServletResponse)response;
HttpSession session=((HttpServletRequest)request).getSession();
PrintWriter out=response2.getWriter();

response.setContentType("text/html; charset=UTF-8");

User user=(User)session.getAttribute("user");
//User类为一个存放用户信息的JavaBean
if( 用户验证通过 ))...{
/**//*用户验证通过的处理代码*/
}else...{
/**//*用户验证失败的处理代码*/
chain.doFilter(request, response);
}
}

public void destroy()...{

}

public void init(FilterConfig filterConfig)...{
this.filterConfig=filterConfig;
}
}

然后，我们要设置web.xml文件，让Filter生效，web.xml文件如下：
<?xml version="1.0" encoding="UTF-8"?>
<web-app version="2.4"
xmlns="http://java.sun.com/xml/ns/j2ee"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://java.sun.com/xml/ns/j2ee
http://java.sun.com/xml/ns/j2ee/web-app_2_4.xsd">
<filter>
<filter-name>UserCheck</filter-name>
<filter-class>net.ziqiang.commons.CheckUser</filter-class>
</filter>
<filter-mapping>
<filter-name>UserCheck</filter-name>
<url-pattern>/auth/*</url-pattern>
</filter-mapping>
</web-app>
注意上面的<url-pattern>，这里的/auth/*表示对当前网站auth目录想的所有访问启用Filter来进行访问验证，换句话说，/auth为被保护区域。

三、使用监听器(Listener)在会话创建的时候载入用户信息