当我的用户表很少时，如何通过 jdbcRealm 在 Web 应用程序中提供安全性

Question

我在 Java EE 中遇到了安全问题。 我有一个应用程序，它应该是一种电子商店。我有三个实体： 未映射到数据库的用户类，以及映射到不同表的两个继承类 - Client 和 Administrator：

@MappedSuperclass
@Inheritance(strategy= InheritanceType.TABLE_PER_CLASS)
public class User implements Serializable {...}

@Entity
public class Client extends User {...}

@Entity
public class Administrator extends User {...}

现在我需要为客户端和管理员资源提供安全性。我对 jdbcRealm 和标准登录页面使用 FORM 身份验证：

&ltform action="j_security_check" 方法="POST"&gt &ltinput type="text" name="j_username"/&gt &ltinput type="password" name="j_password"/&gt &ltinput type="提交" value="登录"/&gt &lt/形式&gt

但问题是 jdbcRealm 只引用一张表。并且不允许在 web.xml 中设置两个 jdbcRealms。那么如何在不改变数据库结构的情况下为客户和管理员提供身份验证呢？是否可以在单个应用程序中使用少量 jdbcRealms？

Answer 1

您可以使用组合领域来组合两个 JDBC 领域：

在 $CATALINA_BASE/conf/server.xml 中

<Realm className="org.apache.catalina.realm.CombinedRealm" >
    <Realm className="org.apache.catalina.realm.JDBCRealm"
           driverName="org.gjt.mm.mysql.Driver"
           connectionURL="jdbc:mysql://localhost/db?user=dbuser&amp;password=dbpass"
           userTable="client" 
           userNameCol="user_name" userCredCol="user_pass"
           userRoleTable="user_roles" roleNameCol="role_name"/>
    <Realm className="org.apache.catalina.realm.JDBCRealm"
           driverName="org.gjt.mm.mysql.Driver"
           connectionURL="jdbc:mysql://localhost/db?user=dbuser&amp;password=dbpass"
           userTable="administrator" 
           userNameCol="user_name" userCredCol="user_pass"
           userRoleTable="user_roles" roleNameCol="role_name"/>
</Realm>

但是，在这种情况下，最好设置一个数据源并使用 DataSourceRealm 访问表。

<Realm className="org.apache.catalina.realm.CombinedRealm" >
     <Realm className="org.apache.catalina.realm.DataSourceRealm"
            dataSourceName="jdbc/authority"
            userTable="clients" userNameCol="user_name" userCredCol="user_pass"
            userRoleTable="user_roles" roleNameCol="role_name"/>
     <Realm className="org.apache.catalina.realm.DataSourceRealm"
            dataSourceName="jdbc/authority"
            userTable="administrators" userNameCol="user_name" userCredCol="user_pass"
            userRoleTable="user_roles" roleNameCol="role_name"/>
</Realm>

这样你只需要在数据源中设置连接字符串，而不是在领域中复制。

注意就个人而言，我会质疑拥有不同的 ADMINISTRATOR 和 USER 表是否是个好主意，因为如果您的用户名既是客户端又是管理员会发生什么，因此您必须确保这不会不会发生，通过仅对一张表进行约束会更容易。