9

私はこの問題に関してたくさんのグーグルをしました、そして今まで私はStruts2とSpringSecurityの統合に関するチュートリアルを見つけることができませんでした。

私の質問は、SpringSecurityとStruts2をどのように統合するのかということです。

管理者ページ/URLは管理者のみがアクセスする必要があるなど、特定のアクションやページを制限したい場合、ユーザーがそのページにアクセスしようとすると、別のページにリダイレクトされます。

4

2 に答える 2

7

/admin/*パス上でアクセス可能なものを保護する必要があるとしましょう。で Spring Security Filter を宣言する必要がありますweb.xml。Struts フィルターは後に来る必要があります。これにより、アクセス/adminしている場合、Spring Security が最初にリクエストを処理し、ロールに応じてリクエストを通過またはブロックできるようになります。ユーザー：

<filter>
  <filter-name>springSecurityFilterChain</filter-name>
  <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>
<filter-mapping>
<filter-name>springSecurityFilterChain</filter-name>
  <url-pattern>/admin/*</url-pattern>
</filter-mapping>
<filter>
    <filter-name>struts2</filter-name>
    <filter-class>org.apache.struts2.dispatcher.FilterDispatcher</filter-class>
</filter>
<filter-mapping>
    <filter-name>struts2</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

次に、Spring セキュリティ コンテキストを宣言します。

<http>
    <intercept-url pattern="/*" filters="none" />
    <intercept-url pattern="/admin/**" access="ROLE_ADMIN" />
    <intercept-url pattern="/**" access="IS_AUTHENTICATED_ANONYMOUSLY" />           
    <form-login login-page="/login" />
    <logout logout-url="/logout" />
</http>

struts2-conventionのような URL/loginが let's say という名前のクラスに自動的にバインドされるように、プラグインを使用することを提案しますcom.foo.bar.actions.LoginAction。同じLogoutAction

これで、下にあるものは/admin/*Spring Security によって保護され、残りは Struts2 フィルターに直接転送される必要があります。

最後に、JSP で誰かが管理者であるかどうかを確認できます。

<sec:authorize access="hasRole('ROLE_ADMIN')">
   <p>you are an admin</p>
</sec:authorize>

残りは、Spring Security チュートリアルで見つけることができます。本当に重要なのはフィルター宣言の順序です。春のセキュリティが最初でなければなりません。

編集： Googleで検索すると、役立つリンクもあります。

于 2013-01-15T09:02:30.633 に答える
5

これは実際には非常に単純です-SpringSecurityはWebフレームワークに依存しません:)

Spring Securityフィルターチェーンを定義する必要があります。これは、すべての要求にマップする必要があるJavaフィルターです。フィルタは、パスに特権が必要かどうかをチェックし、必要な場合は、ユーザーがログインしてそれらの特権を持っているかどうかをチェックします。

簡単なセットアップ例。

web.xml（struts configと一緒に既存のものに挿入）：

<context-param>
    <param-name>contextConfigLocation</param-name>
    <param-value>
        classpath:META-INF/spring/applicationContext-security.xml
    </param-value>
</context-param>

<listener>
    <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
</listener>

<filter>
    <filter-name>springSecurityFilterChain</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>

<filter-mapping>
    <filter-name>springSecurityFilterChain</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

Springセキュリティ構成（contextConfigLocationパラメーターのweb.xmlに記載されているファイル内）：

<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="
    http://www.springframework.org/schema/beans
    http://www.springframework.org/schema/beans/spring-beans-3.1.xsd
    http://www.springframework.org/schema/security
    http://www.springframework.org/schema/security/spring-security-3.1.xsd">

<http pattern="/js/**" security="none" />
<http pattern="/css/**" security="none" />
<http pattern="/images/**" security="none" />

<http auto-config="false" use-expressions="true">
    <http-basic/>
    <intercept-url pattern="/**" access="hasRole('ROLE_USER')" />
    <session-management session-fixation-protection="newSession" />
</http>
</beans:beans>

必要に応じてこれを拡張できます-Springのドキュメントはかなりよく書かれています

さらに単純な自動構成を使用することもできます。

<http auto-config='true'>
    <intercept-url pattern="/**" access="ROLE_USER" />
</http>

上記のオプションは、リクエストパスごとにWebアプリを保護します。アクションも保護することをお勧めします。以下を追加すると、次のようになります。

<global-method-security secured-annotations="enabled" pre-post-annotations="enabled" proxy-target-class = "true" />

必要な機能を教えてください。方向性を示すことができます。名前空間の構成は特効薬ではないことに注意してください。非常にカスタムなソリューションが必要な場合は、すべてのSpring Beanを自分で構成する必要がありますが、ドキュメントではこれについて詳しく説明しています。

于 2013-01-15T09:10:59.750 に答える