Filter实现权限过滤

有这么一个简单的要求:用户只有登录才能进入主页,一旦退出就无法进入主页,看似好像生来就该如此但代码层次却不简单:首先要判断用户登录状态–然后拦截判断.后面还会学习拦截器.
web文件夹下新建一个文件夹名为sys,该文件夹新建jsp页面名为success,显示相应登录成功提示文本即可.
web文件夹下新建一个JSP页面名为error,显示相应故障提示即可.
web文件夹下新建一个JSP页面名为Login,内容如下:

<form action="/servlet/login" method="post">
    <input type="text" name="username">
    <input type="submit">
</form>

servlet文件夹下新建一个类名为LoginServlet,内容如下:

public class LoginServlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
       //获取前端的参数
        String username = req.getParameter("username");//获取前端的参数用parameter
        if (username.equals("admin")){//没有查询数据库,先随便先随便设置一个准入名
            req.getSession().setAttribute("USER_SESSION",req.getSession().getId());//先获取session再放到attribute中,以便能多个页面获取
            resp.sendRedirect("/sys/success.jsp");//此处不跳转而是重定向,因为跳转就拿不到数据了
        }else{
            resp.sendRedirect("/sys/error.jsp");
        }

    }

    @Override
    protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        doGet(req, resp);
    }
}

web.xml中注册servlet:

    <servlet>
        <servlet-name>LoginServlet</servlet-name>
        <servlet-class>com.sunsplanter.servlet.LoginServlet</servlet-class>
    </servlet>
    <servlet-mapping>
        <servlet-name>LoginServlet</servlet-name>
        <url-pattern>/servlet/login</url-pattern>
<!--        前端表单的提交路径就是这个,所以必须一致才能接受到信息-->
    </servlet-mapping>

登录后进入Login.jsp页面,只有输入admin才会跳转success.jsp,其余内容都跳转error.jsp

最基础的登录写好了,接下来要写注销操作.
在success.jsp中添加一个a标签跳转注销:

<a href="/servlet/logout">click me to logout</a>

谈起注销,最粗暴的办法是删除Session,没有了Session信息用户登录状态当然不复存在,但实际开发中不可能这么做,因为再次创建Session是要消耗资源的.我们只需要删除attribute那个Session键值对就可以了.
servlet文件夹下新建一个类名为LogoutServlet,内容如下:

public class LogoutServlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        Object user_session = req.getSession().getAttribute("USER_SESSION");
        //只有登录状态下才存在移除操作
        //这么做最后Session还在
        if (user_session != null){
            req.getSession().removeAttribute("USER_SESSION");
            resp.sendRedirect("/Login.jsp");//退出登录后回到登录页面
        }else{
            resp.sendRedirect("/Login.jsp");//退出登录后回到登录页面
        }
    }

    @Override
    protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        doGet(req, resp);
    }
}

注册servlet:

    <servlet>
        <servlet-name>LogoutServlet</servlet-name>
        <servlet-class>com.sunsplanter.servlet.LogoutServlet</servlet-class>
    </servlet>
    <servlet-mapping>
        <servlet-name>LogoutServlet</servlet-name>
        <url-pattern>/servlet/logout</url-pattern>
    </servlet-mapping>

运行后先进入Login.jsp页面,只有输入admin才会跳转success.jsp,其余内容都跳转error.jsp,success页面有一个a标签,点击即可注销返回登录页.但是此时出现一个很尴尬的问题,只要登录过一次,即使注销后再次输入success.jsp还是能进入主页,因为我们设置success页面的准入规则,任何人只要知道网址后缀都能进入,所以我们在主页中添加以下代码,来实现没有匹配用户名–>就没有Session信息–>就算输入success页面也自动跳转Login页面:

<%
Object userSession = request.getSession().getAttribute("USER_SESSION");
if (userSession == null){
    response.sendRedirect("/Login.jsp");
}
%>

只要Session键值对为空,那么就算输入success.jsp的后缀,也自动重定向到登录页面.
但是有一个问题,我们之前谈过"Servlet专注于处理请求和控制视图跳转,JSP专注于显示数据",所以这里用JSP实现页面跳转显然不合适.可以考虑放到Filter中实现.我们像上次 一样实现servlet下的Filter接口:

public class SysFilter implements Filter {
    @Override
    public void init(FilterConfig filterConfig) throws ServletException {

    }

    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
        //注意这里的ServletRequest和HttpServletRequest的区别,它们是父与子的关系
        //这里进行强制转换,因为只有HttpServletRequest才能获取到Session
        HttpServletRequest request1 = (HttpServletRequest) servletRequest;
        HttpServletResponse response1 = (HttpServletResponse) servletResponse;

        if(request1.getSession().getAttribute("USER_SESSION") == null){
            response1.sendRedirect("/error.jsp");
        }

        filterChain.doFilter(servletRequest,servletResponse);
    }

    @Override
    public void destroy() {

    }
}

然后注册Filter:

    <filter>
        <filter-name>SysFilter</filter-name>
        <filter-class>com.sunsplanter.filter.SysFilter</filter-class>
    </filter>
    <filter-mapping>
        <filter-name>SysFilter</filter-name>
        <!--        请求任何sys下属的子页面都会经过此过滤器-->
        <url-pattern>/sys/*</url-pattern>
    </filter-mapping>

运行后本项目基本要求就达到了:唯一一个进入success页面的情况是:第一次在Login页面输入匹配的用户名且后续没有Logout.

以上这个小实验有一个可以改进的地方,我们存在一个变量–Session的一个键值对名为"USER_SESSION",用来存储用户登陆的"令牌",但作为一个多次使用的实际上的常量,如果作为变量,但凡出现更改就要更多多处地方,我们可以在sunsplanter包下新建一个util包,该包下新建一个名为Constant的类,该类专门用来存放经常使用的常量,再将原本的"USER_SESSION"引用都改为对常量的USER_SESSION的调用,以达到使用和修改都简单的目的:

public class Constant {
    public static final String USER_SESSION = "User_Session";
}

此外,