httpsession 在服务器段进行权限控制

野性酷女 2022-08-20 11:11 107阅读 0赞

摘自疯狂讲义第三版的电子拍卖系统；  
/\*\*  
\* 服务器端程序在处理用户登录时，如果用户登录成功，系统会把用户ID 放  
\* 入HTTPsession中，方便系统跟踪用户的登录状态；  
\* 对于Android客户端程序来说，由于Android客户端采用了Apache HttpClient  
\* 来发送请求、获取响应，因此HttpClient会自动维护与服务器之间的登录状态，  
\* 有的项目会要求只有登录用户才能使用系统功能，因此程序考虑在服务器段使用  
\* Filter进行控制，Filter只要拦截匹配的/android/\*（匹配该URL 的Servlet向  
\* Android客户端提供响应）的URL 即可；  
\*  
\* 一些Android应用并没有在服务器段进行权限控制，而是只要求用户在第一次使用  
\* 时登录系统，但实际上这是不够的。对于恶意用户来说，他可以采用多种方法来绕  
\* 过客户端的登录要求——最简单的方法比如反编译Android应用，让用户在启动程序时  
\* 立即进入MainActivity，那么整个应用就“赤裸裸”的暴露出来了。所以有的应用不  
\* 仅要求用户第一次使用时进行登录，而且程序还在服务器端进行了控制，这样才能  
\* 保证系统的安全性；  
\*/

package com.lu.service;
    
    import java.io.IOException;
    
    import javax.servlet.Filter;
    import javax.servlet.FilterChain;
    import javax.servlet.FilterConfig;
    import javax.servlet.ServletException;
    import javax.servlet.ServletRequest;
    import javax.servlet.ServletResponse;
    import javax.servlet.http.HttpServletRequest;
    import javax.servlet.http.HttpSession;
    
    public class Authority implements Filter { 
        public void doFilter(ServletRequest request, ServletResponse response,
                FilterChain chain) throws IOException, ServletException 
        {
            HttpServletRequest hRequest = (HttpServletRequest) request;
            //获取HttpSession对象；
            HttpSession session = hRequest.getSession(true);
            Integer userId = (Integer)session.getAttribute("userId");
            //如果用户已经登录，或用户正在登录
            if((userId != null && userId > 0) || 
                    hRequest.getRequestURI().endsWith("/login.jsp"))
            {
                chain.doFilter(request, response); //“放行”请求；
            }
            else
            {
                response.setContentType("text/html; charset=GBK");
                //生成错误提示；
                response.getWriter().println("您还没有登录系统，请先登录！");
            }
        }
    
        public void init(FilterConfig arg0) throws ServletException 
        {       
        }
    
        public void destroy() 
        {       
        }
    }