Etapes de configuration du Framework Acegi dans une application Web JAVA J2EE
La configuration passe par cinq étapes :
Etape 1: Mettre le acegi-security-1.0.0-RC2.jar sous le répertoire lib de votre application:
Etape 2: Configuration des listeners et des filtres:
Pour les filtres, il en existe trois à intégrer :
LocaleFilter : ce filtre étend le filtre OncePerRequestFilter qui est un filtre de base. Il garantit son exécution seulement une et une seule fois par requête, sur n'importe quel conteneur de servlet. Il fournit une méthode doFilterInternal avec comme arguments HttpServletRequest et HttpServletResponse.
LocaleRequestWrapper : ce filtre étend HttpServletRequestWrapper qui permet de configurer le Locale de l’utilisateur.
UserSecurityAdvice : ce filtre est un advice utilisé par Acegi. Il permet de renforcer la sécurité : il donne la main seulement à l’administrateur pour qu’il modifie les utilisateurs ou bien il donne la main à l’utilisateur pour qu’il modifie ses informations.
Concernant les listeners, nous trouvons :
StartupListener : cet écouteur permet d'initialiser les paramètres de sécurité (comme le cryptage de mot de passe) et de charger la liste des rôles possible configurés au niveau de la base de donnée pour accéder à l'application.
UserCounterListener : Cet écouteur permet de contrôler le nombre des connexions actives pour chaque utilisateur en se référant au paramètre existant dans le fichier applicationContext-security.xml au niveau de bean déclaré concurrentSessionController.
Etape 3: Configuration des filtres et des listeners dans le fichier web.xml:
Tout d'abord, nous devons mettre en place la logique de filtres d'ACEGI. Pour cela, il faut mettre à jour le fichier web.xml de notre application Web en y définissant un filtre au sens servlet. Ce filtre va charger sa propre configuration depuis les fichiers de configuration Spring.</code>
Etape 4: Configuration des filtres au niveau du fichier de configuration de Spring:
Ce fichier doit de trouver sous /WEB-INF/
Dans notre application, ce fichier est nommé applicationContext-security.xml Dans notre fichier de configuration Spring, nous allons maintenant déclarer les filtres ACEGI chargés de mettre en oeuvre notre stratégie de sécurisation. Pour faire propre, il faudrait créer plusieurs fichiers de configuration.
<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns:aop="http://www.springframework.org/schema/aop"
xsi:schemaLocation="http://www.springframework.org/schema/beanshttp://www.springframework.org/schema/beans/spring-beans-2.0.xsdhttp://www.springframework.org/schema/aophttp://www.springframework.org/schema/aop/spring-aop-2.0.xsd"
default-lazy-init="true">
<!-- ======================== FILTER CHAIN ======================= -->
<bean id="filterChainProxy" class="org.acegisecurity.util.FilterChainProxy">
<property name="filterInvocationDefinitionSource">
<value>
CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
PATTERN_TYPE_APACHE_ANT
/**=httpSessionContextIntegrationFilter,authenticationProcessingFilter,securityContextHolderAwareRequestFilter,rememberMeProcessingFilter,anonymousProcessingFilter,exceptionTranslationFilter,filterInvocationInterceptor
</value>
<!-- Put channelProcessingFilter before securityContextHolderAwareRequestFilter to turn on SSL switching -->
<!-- It's off by default b/c Canoo WebTest doesn't support SSL out-of-the-box -->
</property>
</bean>
<!-- Pour limiter le nombre des connecteurs à la session en même temps -->
<bean id="concurrentSessionController"
class="org.acegisecurity.concurrent.ConcurrentSessionControllerImpl">
<property name="maximumSessions">
<value>1</value>
</property>
<property name="sessionRegistry">
<ref local="sessionRegistry" />
</property>
</bean>
<bean id="sessionRegistry"
class="org.acegisecurity.concurrent.SessionRegistryImpl" />
<bean id="httpSessionContextIntegrationFilter" class="org.acegisecurity.context.HttpSessionContextIntegrationFilter"/>
<!-- Fin -->
<!-- Changed to use logout.jsp since causes 404 on WebSphere: http://issues.appfuse.org/browse/APF-566 -->
<bean id="logoutFilter" class="org.acegisecurity.ui.logout.LogoutFilter">
<constructor-arg value="/index.jsp"/>
<constructor-arg>
<list>
<ref bean="rememberMeServices"/>
<bean class="org.acegisecurity.ui.logout.SecurityContextLogoutHandler"/>
</list>
</constructor-arg>
<property name="filterProcessesUrl" value="/logout.jsp"/>
</bean>
<bean id="authenticationProcessingFilter" class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilter">
<property name="authenticationManager" ref="authenticationManager"/>
<property name="authenticationFailureUrl" value="/login.jsp?error=true"/>
<property name="defaultTargetUrl" value="/"/>
<property name="filterProcessesUrl" value="/j_security_check"/>
<property name="rememberMeServices" ref="rememberMeServices"/>
</bean>
<bean id="securityContextHolderAwareRequestFilter" class="org.acegisecurity.wrapper.SecurityContextHolderAwareRequestFilter"/>
<bean id="rememberMeProcessingFilter" class="org.acegisecurity.ui.rememberme.RememberMeProcessingFilter">
<property name="authenticationManager" ref="authenticationManager"/>
<property name="rememberMeServices" ref="rememberMeServices"/>
</bean>
<bean id="anonymousProcessingFilter" class="org.acegisecurity.providers.anonymous.AnonymousProcessingFilter">
<property name="key" value="anonymous"/>
<property name="userAttribute" value="anonymous,ROLE_ANONYMOUS"/>
</bean>
<bean id="exceptionTranslationFilter" class="org.acegisecurity.ui.ExceptionTranslationFilter">
<property name="authenticationEntryPoint">
<bean class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilterEntryPoint">
<property name="loginFormUrl" value="/login.jsp"/>
<property name="forceHttps" value="false"/>
</bean>
</property>
</bean>
<bean id="filterInvocationInterceptor" class="org.acegisecurity.intercept.web.FilterSecurityInterceptor">
<property name="authenticationManager" ref="authenticationManager"/>
<property name="accessDecisionManager" ref="accessDecisionManager"/>
<property name="objectDefinitionSource">
<value>
PATTERN_TYPE_APACHE_ANT
/passwordHint.html*=ROLE_ANONYMOUS,ROLE_ADMIN,ROLE_USER
/signup.html*=ROLE_ANONYMOUS,ROLE_ADMIN,ROLE_USER
/a4j.res/*.html*=ROLE_ANONYMOUS,ROLE_ADMIN,ROLE_USER <!-- APF-737, OK to remove if not using JSF -->
/**/*.html*=ROLE_ADMIN,ROLE_USER
</value>
</property>
</bean>
<bean id="accessDecisionManager" class="org.acegisecurity.vote.AffirmativeBased">
<property name="allowIfAllAbstainDecisions" value="false"/>
<property name="decisionVoters">
<list>
<bean class="org.acegisecurity.vote.RoleVoter"/>
</list>
</property>
</bean>
<bean id="rememberMeServices" class="org.acegisecurity.ui.rememberme.TokenBasedRememberMeServices">
<property name="userDetailsService" ref="UserDao"/>
<property name="key" value="23_*!cdU='612./e;NrI"/>
<property name="parameter" value="rememberMe"/>
</bean>
<bean id="authenticationManager" class="org.acegisecurity.providers.ProviderManager">
<property name="providers">
<list>
<ref local="daoAuthenticationProvider"/>
<ref local="anonymousAuthenticationProvider"/>
<ref local="rememberMeAuthenticationProvider"/>
</list>
</property>
</bean>
<bean id="daoAuthenticationProvider" class="org.acegisecurity.providers.dao.DaoAuthenticationProvider">
<property name="userDetailsService" ref="UserDao"/>
<property name="passwordEncoder" ref="passwordEncoder"/>
</bean>
<bean id="anonymousAuthenticationProvider" class="org.acegisecurity.providers.anonymous.AnonymousAuthenticationProvider">
<property name="key" value="anonymous"/>
</bean>
<bean id="rememberMeAuthenticationProvider" class="org.acegisecurity.providers.rememberme.RememberMeAuthenticationProvider">
<property name="key" value="23_*!cdU='612./e;NrI"/>
</bean>
<!-- This bean definition must be available to ApplicationContext.getBean() so StartupListener
can look for it and detect if password encryption is turned on or not -->
<bean id="passwordEncoder" class="org.acegisecurity.providers.encoding.ShaPasswordEncoder"/>
<!-- This bean is optional; it isn't used by any other bean as it only listens and logs -->
<bean id="loggerListener" class="org.acegisecurity.event.authentication.LoggerListener"/>
<!-- Apply method-level interceptor to userManager bean -->
<aop:config>
<aop:advisor id="managerSecurity" advice-ref="methodSecurityInterceptor" pointcut="execution(* com.cleyris.ebee.core.service.UserManager.*(..))"/>
</aop:config>
<bean id="methodSecurityInterceptor" class="org.acegisecurity.intercept.method.aopalliance.MethodSecurityInterceptor">
<property name="authenticationManager" ref="authenticationManager"/>
<property name="accessDecisionManager" ref="accessDecisionManager"/>
<property name="objectDefinitionSource">
<value>
com.cleyris.ebee.core.service.UserManager.getUsers=ROLE_ADMIN
com.cleyris.ebee.core.service.UserManager.removeUser=ROLE_ADMIN
</value>
</property>
</bean>
<!-- SSL Switching: to use this, configure it in the filterChainProxy bean -->
<bean id="channelProcessingFilter" class="org.acegisecurity.securechannel.ChannelProcessingFilter">
<property name="channelDecisionManager" ref="channelDecisionManager"/>
<property name="filterInvocationDefinitionSource">
<value>
PATTERN_TYPE_APACHE_ANT
/admin/**=REQUIRES_SECURE_CHANNEL
/login*=REQUIRES_SECURE_CHANNEL
/j_security_check*=REQUIRES_SECURE_CHANNEL
/signup.html*=REQUIRES_SECURE_CHANNEL
/saveUser.html*=REQUIRES_SECURE_CHANNEL
/**=REQUIRES_INSECURE_CHANNEL
</value>
</property>
</bean>
<bean id="channelDecisionManager" class="org.acegisecurity.securechannel.ChannelDecisionManagerImpl">
<property name="channelProcessors">
<list>
<bean class="org.acegisecurity.securechannel.SecureChannelProcessor"/>
<bean class="org.acegisecurity.securechannel.InsecureChannelProcessor"/>
</list>
</property>
</bean>
</beans>
Au niveau de ce fichier, nous avons défini les pages d’index, de login et de logout, le nombre maximal d’ouverture de session, les différents rôles…
Etape 5: Création de l’interface UserManager, de son implémentation, de userDao et de la classe POJO User:
UserManager.java
public interface UserManager extends Manager {
……
/**
*
* @param user cette methode est utilis�e par acegi pour ajouter un autre utilisateur
* @return
* @throws UserExistsException
*/
public User saveUser(User user) throws UserExistsException;
/**
* cette methode est utilis�e par acegi pour intercepter un utilisateur
* @param userId
* @return
*/
public User getUser(String userId);
/**
* cette methode est utilis�e par acegi pour supprimer un utilisateur
* @param userId
*/
public void removeUser(String userId);
/**
*
* @param username cette methode est utilis�e par acegi pour afficher l'utilisateur � travers son login
* @return
* @throws UsernameNotFoundException
*/
public User getUserByUsername(String username) throws UsernameNotFoundException, CleyrisException ;
……………
}
UserManagerImpl.java
public class UserManagerImpl extends BaseManager implements UserManager{
//c'est la partie Acegi
@SuppressWarnings("unchecked")
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
List<UserDetails> users = userDAO.setHqlQuery("from User where username=:username").setParameter("username",username).list();
if (users == null || users.isEmpty()) {
throw new UsernameNotFoundException("user '" + username + "' not found...");
} else {
return (UserDetails) users.get(0);
}
}
public User getUser(String userId) {
return userDao.get(new Long(userId));
}
public User saveUser(User user) throws UserExistsException {
// if new user, lowercase userId
if (user.getUserId()== 0) {
user.setUsername(user.getUsername().toLowerCase());
}
try {
return userDao.saveUser(user);
} catch (DataIntegrityViolationException e) {
if (log.isErrorEnabled())
log
.error("Exception occurs class:com.cleyris.ebee.core.service.UserManagerImpl.java method:saveUser: "
+ e.getMessage() + ".");
throw new UserExistsException(Constants.UserExists);
} catch (EntityExistsException e) { // needed for JPA
if (log.isErrorEnabled())
log
.error("Exception occurs class:com.cleyris.ebee.core.service.UserManagerImpl.java method:saveUser: "
+ e.getMessage() + ".");
throw new UserExistsException(Constants.UserExists);
}
}
public void removeUser(String userId) {
log.debug("removing user: " + userId);
userDao.remove(new Long(userId));
}
public User getUserByUsername(String username) throws UsernameNotFoundException, CleyrisException {
User user= (User) userDao.loadUserByUsername(username);
return user;
}
public List<User> getUsers(User user) {
return userDao.getUsers();
}
}
UserDao.java
package com.cleyris.ebee.core.dao;
import java.util.List;
import org.acegisecurity.userdetails.UserDetails;
import org.acegisecurity.userdetails.UsernameNotFoundException;
import org.springframework.transaction.annotation.Transactional;
import com.cleyris.ebee.core.modele.User;
/**
* @author mlaouini
*/
public interface UserDao extends BaseDao<User, Long> {
/**
* charger les informations d'utilisateurs basé sur login .
* @param username the user's username
* @return userDetails populated userDetails object
* @throws org.acegisecurity.userdetails.UsernameNotFoundException thrown when user not found in database
*/
@Transactional
UserDetails loadUserByUsername(String username) throws UsernameNotFoundException;
/**
* charger une liste d'utilisateurs trier par le login en appliquant le majuscule sur le login ==>username.
*
* @return List populated list of users
*/
List<User> getUsers();
/**
* sauvegarder un utilisateur.
* @param user the object to be saved
* @return the persisted User object
*/
User saveUser(User user);
}
UserDaoImpl.java
public class UserDaoImpl extends BaseDaoImpl<User, Long> implements UserDao, UserDetailsService {
public UserDaoImpl() {
super(User.class);
}
/**
* {@inheritDoc}
*/
@SuppressWarnings("unchecked")
public List<User> getUsers() {
return getHibernateTemplate().find("from User u order by upper(u.username)");
}
/**
* {@inheritDoc}
*/
public User saveUser(User user) {
log.debug("user's id: " + user.getUserId());
getHibernateTemplate().saveOrUpdate(user);
// necessary to throw a DataIntegrityViolation and catch it in UserManager
getHibernateTemplate().flush();
return user;
}
public User save(User user) {
return this.saveUser(user);
}
/**
* {@inheritDoc}
*/
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
List users = getHibernateTemplate().find("from User where username=?", username);
if (users == null || users.isEmpty()) {
throw new UsernameNotFoundException("user '" + username + "' not found...");
} else {
return (UserDetails) users.get(0);
}
}
}
La classe User.java implémente UserDetails. Cette interface fournit des informations de base sur l'utilisateur. Les implémentations ne sont pas directement utilisées par Acegi pour des raisons de sécurité. Elles stockent tout simplement des informations sur l'utilisateur qui sont ensuite encapsulées dans des objets d'authentification.
Cet article est régulièrement mis à jour par des experts sous la direction de Jean-François Pillou, fondateur de CommentCaMarche et directeur délégué au développement numérique du groupe Figaro.
