Strutsのロール設定

Written on Mar 11, 2005. Posted in Java

Strutsの各アクションを実行する権限がログインユーザにあるのかどうかを検証する仕組みを調査してみた(仕事で使うから)。

　　(struts-configのDTDから発見)* Struts1.2から，roles属性にワイルドカードが使える。

　　(「 Strutsユーザのための、Struts1.2ことはじめ」 by 豆蔵)* Servlet/JSP標準搭載の認証の仕組みだと，一旦ログインしたら，ログアウトするまで，そのユーザの属性が変わっても即反映はされない。

　　(「 Strutsで認証は？」 by toyofuku blog)

３つ目の「即反映されない」についてお客さんに「それじゃダメ」って言われちゃうと，認証の仕組みを自作しなくちゃいけなくなりそうだ。でも，それさえクリアできれば，Spring AOP使って認証処理を作成しようとしてたけど，どうやら自作しなくて済みそう。

あ，roles属性に書かれたロール以外のユーザが該当アクションを実行しようとしたらどうなるんだろう・・・。ググってもヒットしないので，Struts1.2.4のソースを読むことに。RequestProcesser.javaの869行目に発見。なるほど，「403 FORBIDDEN」になるわけね。

関連記事