如何使用 URL GET 请求参数安全地初始化 ViewScoped bean？ [复制]

Question

我有一些托管 bean (ViewScoped)，当前使用会话中的数据进行了初始化。我想用 URL GET 参数初始化它们，这样我就可以为 URL 提供我想在视图中显示的实体 ID。类似于displayClient.xhtml?entityId=123。

现在我在视图主实体的 getter 中考虑这样的事情：

public clientModel getclientM() {
  if (this.clientM == null) {
    // TODO: Check for empty, non-integer or garbage parameters...
    // Anything exists to "sanitize" URL parameters?
    int entityId = Integer.parseInt(FacesContext.getCurrentInstance().getExternalContext().getRequestParameterMap().get("entityId"));

    // I guess I should check here if the logged user is authorized to 
    // load client entity with this entityId...  anything else to check?

    this.clientM = this.clientS.find(entityId);
  }

  return this.clientM;
}

任何关于最佳实践的提示或建议将不胜感激。

Answer 1

我认为最好的做法是：

displayclient.xhtml:

<f:metadata>
    <f:viewParam name=“entityId” 
                 value="#{bean.clientM}” 
                 required="true" 
                 converter=“clientModelConverter”
                 converterMessage="Bad request. Unknown ClientModel.”
                 requiredMessage="Bad request. Please use a link from within the system.">
    </f:viewParam>
</f:metadata>

转换器：

@ManagedBean    
@RequestScoped 
public class ClientModelConverter implements Converter {

    @EJB
    private ClientService clientService;

    @Override
    public String getAsString(FacesContext context, UIComponent component, Object value) {
        // TODO: check if value is instanceof ClientModel
        return String.valueOf(((ClientModel) value).getId());
    }

    @Override
    public Object getAsObject(FacesContext context, UIComponent component, String value) {
       // TODO: catch NumberFormatException and throw ConverterException
       return clientService.find(Integer.valueOf(value));
    }

}

调用页面例如：

<h:link value=“Display” outcome="displayClient">
    <f:param name=“entityId" value=“#{…}” />
</h:link>

或者只是一个原始网址，例如displayClient.xhtml?entityId=123。

深受启发 What can <f:metadata>, <f:viewParam> and <f:viewAction> be used for? 和 JSF 2.0 view parameters to pass objects.

Answer 2

出于同样的确切原因，我做了类似的事情：提供指向 jsf 页面的外部链接。

在您的 ViewScoped bean 中，有一个 @PostConstruct 方法来强制对 Get Param 进行故障安全扫描

@PostConstruct
public void scanEntityId(){

    int entityId = 0; // or some other default value 

    try{
        // Try to fetch entityId from url with GET
        int entityId = Integer.getInteger(FacesContext.getExternalContext().getRequestParameterMap().get("entityId")  );
    }catch(Exception e){
        // Did not find anything from GET
    }

    // TODO: do stuff using the entityId's value. e.g.:
    if(entityId >0){
        this.clientM = this.clientS.find(entityId);
    }
}

只需确保处理在获取参数中找不到 entityId var 的情况

如果您想从同一应用的另一个 xhtml 页面链接到该页面，您可以使用 f:param

<h:link value="Go in a page that uses thatViewScoped Bean"
    outcome="#{thatViewScopedBean.takeMeToThatPage}" >      
    <f:param name="entityId" value="#{somebean.somevar.entityId}" />
</h:link>

一个不错的教程也可以找到here 您可能还想see this answer 和此article 以查看更多选项并获得更清晰的视图。

Answer 3

1. 在会话中存储 entityId，例如 SessionScoped Bean
2. 在您的 View Scoped 托管 bean 中，添加 @PostConstruct 方法，您将从会话中获取 entityId 并使用它填充数据