禁止在不登录Jsf2的情况下访问受限页面

Question

我有个问题。我想防止用户访问页面而不登录jsf2。当用户直接将受限制的页面网址写入浏览器时，他/她应该看不到该页面。就像上述情况那样，他/她必须被重定向到登录页面。如何以编程方式执行此操作？

Answer 1

这取决于您如何设置登录名。您似乎正在使用本地认证，其中将登录用户设置为会话范围的受管Bean的属性。因为使用Java
EE提供的容器管理登录名，已经考虑了防止访问受限页面。

假设你已经在某个URL模式，像所有的受限制的页面/app/*，/secured/*等和你的会话范围的bean已经被管理bean的名字user，那么你可以使用一个过滤器的工作。实现以下doFilter()方法：

@Override
public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {
    HttpServletRequest request = (HttpServletRequest) req;
    HttpServletResponse response = (HttpServletResponse) res;
    HttpSession session = request.getSession(false);
    User user = (session != null) ? (User) session.getAttribute("user") : null;

    if (user == null || !user.isLoggedIn()) {
        response.sendRedirect("/login.xhtml"); // No logged-in user found, so redirect to login page.
    } else {
        chain.doFilter(req, res); // Logged-in user found, so just continue request.
    }
}

将此过滤器映射到覆盖受限页面的URL模式。

此外，您需要确保已禁用这些页面上的浏览器缓存，否则最终用户在注销后仍将能够从浏览器缓存中看到它们。您也可以为此使用过滤器。您甚至可以在同一过滤器中执行此操作。