JSF - Controle de Acesso FERNANDO FREITAS COSTA

Transcrição

1 JSF - Controle de Acesso FERNANDO FREITAS COSTA ESPECIALISTA EM GESTÃO E DOCÊNCIA UNIVERSITÁRIA

2 JSF Controle de Acesso Antes de iniciarmos este assunto, é importante conhecermos a definição de autenticação e autorização. - Autenticação: deve verificar se um usuário é ele mesmo através de validação de senhas e/ou certificados. - Autorização: com base em um usuário identificado, as regras e controles de permissão e acesso serão aplicadas na aplicação/produto e seus recursos.

3 JSF Controle de Acesso Ao desenvolvermos uma apliação em java para web, existem várias maneiras de fazer com que o acesso a determinadas páginas só possa ser autorizado mediante um processo de login com sucesso. Entre elas estão: - Servlet Filter - Phase Listener - Java Authentication and Authorization Service (JAAS) - jguard - Spring Security - Apache Shiro

4 Filters Esta é a forma mais básica e rápida de implementar uma solução deste tipo. O Filter permite a interceptação, manipulação e redirecionamento de todas as requisições HTTP do seu servidor, filtrando o endereço que está sendo acessado. Sendo assim, quando o usuário João acessar aquela URL que é proibida, você pode imediatamente redirecioná-lo para outro endereço, antes que a resposta seja dada ao cliente.

5 Phase Listener Para as aplicações escritas em JavaServer Faces, além da opção de usar servlets filters, estas podem se utilizar de um recurso especifico do JSF chamado da phase listener que é responsável por interceptar e oferecer mecanismos de manipulações referentes as mudanças de eventos ocorridas no ciclo de vida da especificação. Relacionado ao contexto de autenticação e autorização, ela se encaixa perfeitamente para a implementações de controle de usuários, oferendo ao projetista da aplicação mais uma opção arquitetural. (Fernando Franzini)

6 Java Authentication and Authorization Service O JAAS (Java Authentication and Authorization Service) é a API padrão do Java para controle de acesso e autorização em aplicações JavaEE. Com JAAS é possível autenticar e validar usuários e certificados, bem como controlar a possibilidade de acesso e/ou utilização de recursos na aplicação (arquivos, diretórios, URLs, conteúdo, etc).

7 jguard jguard é uma biblioteca que fornece segurança EASY (autenticação e autorização) para aplicações web em Java. Ele é construído sobre a estrutura estável e madura JAAS, que faz parte da API Java J2SE. jguard é muito flexível e permite várias maneiras diferentes para configurar esses mecanismos de autenticação e autorização, ou seja, em um banco de dados relacional, arquivos XML ou serviço LDAP. jguard está sob a licença LGPL open source.

8 Spring Security Spring Security é uma estrutura que se concentra em fornecer autenticação e autorização para aplicações Java. Como todos os projetos Spring, o poder real do Spring Security é encontrado em quão facilmente ele pode ser estendido para atender aos requisitos personalizados. Características: - Suporte abrangente e extensível para autenticação e autorização - Proteção contra ataques, como fixação de sessão, clickjacking, cross site request forgery, etc - Integração API Servlet - Integração opcional com Spring Web MVC - Muito mais...

9 Apache Shiro Apache Shiro é um framework poderoso e fácil de usar que executa autenticação, autorização, criptografia e gerenciamento de sessão. Com a API fácil de entender do Shiro, você pode rapidamente e facilmente proteger qualquer aplicação - desde as menores aplicações móveis até as maiores aplicações web e corporativas.

10 Utilizando o Phase Listener Crie uma nova classe dentro do pacote util chamada Autorizador e faça as importações necessárias. import bean.loginbean; public class Autorizador implements PhaseListener public void afterphase(phaseevent event) { FacesContext facescontext = event.getfacescontext(); String currentpage = facescontext.getviewroot().getviewid(); boolean isloginpage = (currentpage.lastindexof("index.xhtml") > -1); HttpSession session = (HttpSession) facescontext.getexternalcontext().getsession(true); LoginBean loginbean = (LoginBean) session.getattribute("loginbean"); } if (!isloginpage && loginbean!= null &&!loginbean.isautenticado()){ FacesMessage message = new FacesMessage(FacesMessage.SEVERITY_ERROR, "Acesso negado", nu facescontext.addmessage("", message); NavigationHandler nh = facescontext.getapplication().getnavigationhandler(); nh.handlenavigation(facescontext, null, "/index.xhtml"); } public void beforephase(phaseevent arg0) { public PhaseId getphaseid() { return PhaseId.RESTORE_VIEW;}

11 Utilizando o Phase Listener Altere seu arquivo faces-config.xml e adicione as linhas a seguir antes da tag </faces-config>. <lifecycle> <phase-listener>util.autorizador</phase-listener> </lifecycle>

12 Referências FRANZINI, Fernando. Autenticação e Autorização. Disponível em: JEVEAUX, Paulo César M. Autenticação e Autorização: JAAS com JDBC Realm. Disponível em: jguard. Disponível em: LANHELLAS, Ronaldo. JSF Filter: Criando um sistema de login com criptografia MD5. Disponível em: Spring Security. Disponível em: