session - 在 JSF 中登录、注销和存储 session 属性的最佳方法

Question

我对 JSF 非常陌生，并且对管理用户登录的最佳实践感到非常困惑。有很多答案，但它们需要 JSF 和 Java EE 的知识，而我似乎没有。

在处理经典 JSP 项目时，我以非常简单的方式处理登录。当用户成功登录时，将创建一个值为 true 的 session 属性“isLoggedIn”。当用户注销时， session 失效。如果“isLoggedIn”属性为 false 或缺失，则要求您登录的页面将重定向到登录屏幕。

在 JSF 中如何完成这种事情？我应该将登录状态、用户名和用户角色等信息存储在 HttpSession 中还是托管 session bean 中？

我发现的很多答案都说你应该使用 request.getRemoteUser() 来管理登录，但没有给出任何进一步的解释。据我所知，如果您使用域凭据登录应用程序，此方法非常有用。那么，如果我在数据库中存储用户凭据(用户名+加盐和散列密码)，它有什么用吗？

如果有人可以向我展示具有以下两个页面的网站如何工作，那将非常有帮助:

1. 登录页面，用户可以在其中输入用户名和密码，然后按“登录”按钮。
2. 包含“登录成功”消息和注销按钮的页面。按下注销按钮后，用户将注销并进入登录页面。

如果用户在未登录时尝试转到第二页，他们将被重定向到第一页。

就像我之前所说的，我对 JSF 非常陌生，我根本找不到关于如何处理此类事情的好的教程。因此，您认为有用的任何链接将不胜感激。

如果重要的话，我正在使用 MyFaces 实现和 PrimeFaces 组件库。

Answer 1

您有两个基本选择:

1. 使用基于容器的身份验证。
2. 自己动手。

第一个选项是官方推荐的方法，具体细节将根据您使用的 servlet 容器和/或 Web 框架而有所不同。

但是，坦率地说，我经常发现配置基于容器的身份验证比它的值(value)更麻烦(并且比简单地构建一个执行我想要的操作的自定义身份验证层更麻烦)。因此，如果您有兴趣自行开发，我通常采用的方法(使用 Spring 和 Hibernate)是拥有一个 User 类，例如:

@Entity
@Table(name="users")
@NamedQueries({
    @NamedQuery(name="User.findAll", query="SELECT u FROM User u"),
    @NamedQuery(name="User.findByPrimaryEmail", query="SELECT u FROM User u WHERE u.primaryEmail = :email")
})
public class User {
    //fields
    private long id;
    private String primaryEmail;
    private String firstName;
    private String lastName;
    private String hashedPassword;
    private String salt;
    //...

    //relationships
    //...

    public User() {
        primaryEmail = null;
        firstName = null;
        lastName = null;
        salt = null;
        hashedPassword = null;
        //...
    }

    @Id
    @GeneratedValue(strategy = GenerationType.AUTO)
    public long getId() {
        return id;
    }
    public void setId(long id) {
        this.id = id;
    }

    @Column(unique=true)
    public String getPrimaryEmail() {
        return primaryEmail;
    }
    public void setPrimaryEmail(String email) {
        this.primaryEmail = email;
        if (this.primaryEmail != null) {
            this.primaryEmail = email.toLowerCase();
        }
    }

    @Column
    public String getHashedPassword() {
        return hashedPassword;
    }
    public void setHashedPassword(String hashedPassword) {
        this.hashedPassword = hashedPassword;
    }

    @Column
    public String getSalt() {
        return salt;
    }
    public void setSalt(String salt) {
        this.salt = salt;
    }

    //(getters and setters for any other columns and relationships)

    @Transient
    public void setPassword(String passwordPlaintext) throws NoSuchAlgorithmException, InvalidKeySpecException {
        if (this.getSalt() == null) {
            this.setSalt(StringUtilities.randomStringOfLength(16));
        }

        this.setHashedPassword(this.computeHash(passwordPlaintext, this.getSalt()));
    }

    @Transient
    public boolean checkPasswordForLogin(String passwordPlaintext) throws NoSuchAlgorithmException, InvalidKeySpecException {
        if (StringUtilities.isEmpty(passwordPlaintext)) {
            return false;
        }
        return this.getHashedPassword().equals(this.computeHash(passwordPlaintext, this.getSalt()));
    }

    @Transient
    private String computeHash(String password, String salt) throws NoSuchAlgorithmException, InvalidKeySpecException {
        KeySpec spec = new PBEKeySpec(password.toCharArray(), salt.getBytes(), 2048, 160);
        SecretKeyFactory fact = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA1");

        //I encode to base64 so that I can treat the hash as text in computations and when storing it in the DB
        return Base64.encodeBytes(fact.generateSecret(spec).getEncoded());
    }
}

然后是一个简单的登录表单，例如:

<form id="loginForm" method="POST" action="/r/submitLogin">
    <div class="formRow">
        <span class="formLabel">Email</span>  <input type="text" class="textInput" name="email" />
    </div>
    <div class="formRow">
        <span class="formLabel">Password</span>  <input type="password" class="textInput" name="pass" />
    </div>
    <div class="formRow">
        <input type="submit" class="submitButton" value="Log In" />
    </div>
</form>

还有一个 submitLogin 实现，如下所示:

public ModelAndView submitLogin(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
    String email = request.getParameter("email");
    String pass = request.getParameter("pass");

    EntityManager em = DatabaseUtil.getEntityManager(request);  //get an EntityManager, you can also use dependency-injection to do this if you prefer
    User user = getUserByPrimaryEmail(email, em);  //lookup the user by email address
    if (user == null) {
        //invalid username
        request.setAttribute("error", "User not found");
        return login(request, response);
    }

    try {
        if (user.checkPasswordForLogin(pass)) {
            //valid login, remember the user in the session
            request.getSession().setAttribute(Constants.SESSION_USER_KEY, user);

            //send the user to the default page
            response.sendRedirect("/r/indexPage");
            return null;
        }
        else {
            //invalid password
            request.setAttribute("error", "Incorrect password");
            return login(request, response);
        }
    }
    catch (Exception e) {
        //should only happen if checkPasswordForLogin() throws NoSuchAlgorithmException/InvalidKeySpecException
        LOG.error("Login processing failed!", e);
        request.setAttribute("error", "Cannot generate password hash?!?!?");
        return login(request, response);
    }
}

无论如何，这就是基本实现的全部内容。当然，您可以在此基础上构建功能，例如“记住我”cookie/持久登录、用户角色、状态、访问级别等。但对于基本的登录/注销，这就是您真正需要的。

通过这种方法，可以通过执行 request.getSession().getAttribute(Constants.USER_KEY) 来访问已登录的用户，其中 Constants.USER_KEY 只是您定义的任意字符串。我通常使用类似于“ .user”的内容。

如果使用基于容器的身份验证，通常会通过调用 request.getUserPrincipal() 来暴露用户。