Spring AOP在DWR安全上的应用

SpringAOP在DWR安全上的应用

 

 

<script>init_Nav();</script>

【IT168技术文档】让 DWR自动往Service里面注入一个与Servlet相关的对象，作为参数。只是这样，要每个Service都加上这样的一个参数，奇丑无比！想了 想，决定就让DWR污染一下，Service保留原样。只是增加一个MethodBeforeAdvice（正是它让DWR的API污染了一下。），来对 Service的方法进行拦截，可以在Service的调用之前对操作进行所谓的身份验证，授权之类的操作。完整的拦截模块几个类文件加个Spring配 置文件搞定。
实现拦截功能的类有：

一、MainInteceptor，主拦截器，所以DWR的远程调用都会被拦截，当然， 调用是细到方法级的，可配置的，该类实现了Spring AOP的MethodBeforeAdvice接口，该类有一个集合成员变量，成员为IInteceptor。

二、IInteceptor，是一个接口，仅有一个execute(AopContext context)函数。该接口是拦截器（与前面的主拦截器不同，本接口定义的拦截器是可以由用户去实现，并且可以有多个）。实现接口只需要实现方法。这些 拦截器会被主拦截器回调。 比如要实现一个身份验证的拦截，SecuityInteceptor，在配置文件中把这个拦截器设置为主拦截器的属性即可获得回调。

三、AopContext，Aop上下文。在主拦截器调用IInteceptor的对象时，把这个上下文对象作为参数来调用子拦截器。从该上下文可获得一系列信息，如HttpSession，HttpRequest等。甚至你可以自已设置属性。

下面看一些代码片断:

    
    

     
     
     
     MainInteceptor:

     
     private
     
      List
     
     <
     
     IInterceptor
     
     >
     
      interceptors;
     
     //
     
     定义一系列的子拦截器 
     
     

     
     

     
     public
     
      
     
     void
     
      setInterceptors(List
     
     <
     
     IInterceptor
     
     >
     
      interceptors) {

     
     this
     
     .interceptors 
     
     =
     
      interceptors;
}
在before(Method method, Object[] 
     
     params
     
     , Object target)方法里：
WebContext ctx 
     
     =
     
      WebContextFactory.
     
     get
     
     ();
     
     //
     
     唯一被DWR污染的地方 
     
     

     
     HttpSession session 
     
     =
     
      ctx.getSession();
AopContext context 
     
     =
     
      
     
     new
     
      AopContext(); context.setSession(session);

     
     for
     
     (Iterator it 
     
     =
     
      interceptors.iterator(); it.hasNext();){
IInterceptor interceptor 
     
     =
     
      (IInterceptor) it.next();
interceptor.execute(context);
}
IInterceptor：

     
     public
     
      
     
     interface
     
      IInterceptor {

     
     public
     
      
     
     void
     
      execute(AopContext context);
} 
    
    

AopContext就不必贴出来了， 随自已定义些什么属性，不过就内置了一个Map，用来保存数据罢了。

下面来看看配置文件：

    
    

     
     
     
     <
     
     beans
     
     >
     
     

     
     <!--
     
     将要暴露给DWR的Service
     
     -->
     
     

     
     <
     
     bean id
     
     =
     
     "
     
     bookManager
     
     "
     
      
     
     class
     
     =
     
     "
     
     org.springframework.aop.framework.ProxyFactoryBean
     
     "
     
     >
     
     

     
     <
     
     property name
     
     =
     
     "
     
     proxyInterfaces
     
     "
     
     >
     
     

     
     <
     
     value
     
     >
     
     net.jf.ajax.business.BookManager
     
     </
     
     value
     
     >
     
     

     
     </
     
     property
     
     >
     
     

     
     <
     
     property name
     
     =
     
     "
     
     target
     
     "
     
     >
     
     

     
     <
     
     ref
     
      local
     
     =
     
     "
     
     bookManagerImpl
     
     "
     
     />
     
     

     
     </
     
     property
     
     >
     
     

     
     <
     
     property name
     
     =
     
     "
     
     interceptorNames
     
     "
     
     >
     
     

     
     <
     
     list
     
     >
     
     

     
     <
     
     value
     
     >
     
     dwrAdvisor
     
     </
     
     value
     
     >
     
     

     
     </
     
     list
     
     >
     
     

     
     </
     
     property
     
     >
     
     

     
     </
     
     bean
     
     >
     
     

     
     <
     
     bean id
     
     =
     
     "
     
     bookManagerImpl
     
     "
     
      
     
     class
     
     =
     
     "
     
     net.jf.ajax.business.impl.BookManagerImpl
     
     "
     
     />
     
     

     
     <!--
     
     装配器？如果看不懂，先看看Spring的Aop吧 ：P
     
     -->
     
     

     
     <
     
     bean id
     
     =
     
     "
     
     dwrAdvisor
     
     "
     
      
     
     class
     
     =
     
     "
     
     org.springframework.aop.support.RegexpMethodPointcutAdvisor
     
     "
     
     >
     
     

     
     <
     
     property name
     
     =
     
     "
     
     advice
     
     "
     
     >
     
     

     
     <
     
     ref
     
      local
     
     =
     
     "
     
     dwrInterceptor
     
     "
     
     />
     
     

     
     </
     
     property
     
     >
     
     

     
     <
     
     property name
     
     =
     
     "
     
     patterns
     
     "
     
     >
     
     

     
     <
     
     list
     
     >
     
     

     
     <
     
     value
     
     >
     
     .
     
     *
     
     .
     
     *</
     
     value
     
     >
     
     

     
     </
     
     list
     
     >
     
     

     
     </
     
     property
     
     >
     
     

     
     </
     
     bean
     
     >
     
      
    
    

<!--主拦截器，给它设置子拦截器-->

    
    

     
     
     
     <
     
     bean id
     
     =
     
     "
     
     dwrInterceptor
     
     "
     
      
     
     class
     
     =
     
     "
     
     net.jf.ajax.iterceptor.MainInterceptor
     
     "
     
     >
     
     

     
     <
     
     property name
     
     =
     
     "
     
     interceptors
     
     "
     
     >
     
     

     
     <
     
     list
     
     >
     
     

     
     <
     
     ref
     
      bean
     
     =
     
     "
     
     test
     
     "
     
     />
     
     

     
     </
     
     list
     
     >
     
     

     
     </
     
     property
     
     >
     
     

     
     </
     
     bean
     
     >
     
     

     
     <!--
     
     其中一个子拦截器的实现
     
     -->
     
     

     
     <
     
     bean id
     
     =
     
     "
     
     test
     
     "
     
      
     
     class
     
     =
     
     "
     
     net.jf.ajax.iterceptor.TestInterceptor
     
     "
     
     />
     
     

     
     </
     
     beans
     
     >
     
      
    
    

就 这样，在配置DWR的配置文件时，配置<creator>时使用Spring的Creator就可以直接使用上面的Service了。当 DWR远程请求时，在配置范围内的方法的调用都会被主拦截器拦截，并且遍历、执行所有子拦截器。原有的Service不需要改动，只需要多加一个 Spring的配置文件，将原有的Service再加一层Aop的轻纱。

这是一种实现方法。如果有别的方法让DWR更安全、有效，请一定告知。：）