java - java GUI 应用程序的身份验证和授权框架

Question

我们正在使用 Swing 编写一个带有富 GUI 客户端的三层应用程序，我们需要添加一些身份验证和授权控制。
我对这个主题完全陌生，所以我在网上做了一些研究。我的第一个意图是将 JAAS 用于此功能，但据我所知，JAAS 仅包含执行特权方法/操作的功能，但似乎没有功能来确定是否为某些“操作”授予访问权限控制图形用户界面。例如隐藏/禁用某些菜单等。

我理解错了还是我的方法错了？有没有 JAAS 的替代品？是否存在向 GUI 应用程序添加身份验证和授权的“最佳实践”？

感谢帮助，
恩尼

Answer 1

富 GUI 客户端与标准网站没有什么不同。两者都是客户端，并控制着潜在的攻击者。所以无论你想到什么安全，一个有决心的人都可以打破它。请记住，在 UI 上隐藏/禁用按钮的整个想法是可用性，而不是安全性。

首先，向所有用户显示所有按钮，但请确保如果正常单击管理按钮，服务器不允许它。一旦您获得正确的服务器端身份验证，请添加垫片以隐藏/禁用 UI 上的按钮。为此，您可以编写一个返回登录用户拥有的角色/权限的服务。

JAAS 是一种完美的服务器端认证技术。您应该能够找到很多文档来保护服务器资源。

您的用户必须登录到 Swing GUI，并且必须通过服务器的身份验证。这是最重要的一步。如果您不使用服务器对用户进行身份验证，则根本没有安全性。

此后，每次单击按钮，用户操作都会转到服务器，服务器会验证用户是否具有权限。如果他不这样做，则向客户端抛出异常。这样，如果有人通过某种诡计启用您的按钮，服务器将捕获它。