j2ee权限控制

Question

关于B/S结构，我们可以有两种方式控制权限，第一种就是屏蔽掉用户不该有的链接，那么这种其实可以在地址栏输入地址可以攻破，第二种就是在Servlet,或则struts的Action里面，，这种我就不是很清楚怎么控制了，，因为我们一般都是 “用户→授权→认证”的这么一个过程。。那么在后台该如何来判断一个用户所属的用户组（角色）是否有权限呢？我可不想在我的代码里面充斥太多的if {}else if .... {}else{}thanks

Answer 1

方法很多种：（我知道的）
1、struts里面可用拦截器实现的，具体实现方式我就不说了，网上一大推，
2、用spring里面的权限校验框架，可以配置的，效果很好，但是不以控制。
但是如果你要像网银那样的话，那就困难了，

Answer 2

用户需要登录
登录的用户自然有其角色，这个是后台权限管理实现的OVER

Answer 3

spring吧.如果项目不太的话,直接在jsp里判断一下session里有没有记录咯.

Answer 4

你可以指定某些命名的action需要某种权限，在filter中增加一个这样的校验。

Answer 5

目前还没设计太深，工作量太大！数据和页面呈现太多。方案也没有太好的。你要喜欢可以使用方法配置表的方式来做。action中只有一句话，然后就是角色转向连接。什么参数，权限，基本就不用考虑了，DB没配置就没有连接。连接配置可以使用类似 url?acl={}$pc={} 实行严格正则制御。

Answer 6

说白了，举个简单的例子，写一个filter，然后在登陆的角色中给个参数，并且该action提交也有对应参数，然后在filter中比较，ok就继续，不ok就over或者给个错误提示

Answer 7

我从不用马甲---这问题不是我问的。你多想了。只是提供一个ACL想法而已。

Answer 8

使用filter，这样即使他在地址栏中输入也不会生效的！