JSF深入－－控制跳转(权限控制)

JSF深入－－控制跳转

B/S通常我们的权限控制包括以下几个方面：1，Web层访问权限控制（包括URL级或Button/Link级）；2，业务逻辑访问控制，主要指业务逻辑中方法级的权限控制；3，数据访问权限控制，主要指对Table, View的访问控制，严格的控制会到Row级，甚至是Field级。

问题引入：
我们通常的系统中仅仅做了Web层访问权限控制，因为大多系统只有Web方式的UI做为人机交互的接口，不提供其它的客户端，所以业务逻辑访问控制一般可以不用控制，数据访问方面由于一般系统的要求目前尚未达到这一权限控制的必要，也没有完整的进行控制。Web层的URL级控制通常采用J2EE规范中的Filter来解决，但由于JSF中的跳转并不会重写URL，默认采用Forward的方式，一般不会采用Redirect的方式，而且采用Redirect的时候，开发时会很不方便，很多Request参数无法传递，所以我们实际上在Filter中获得的URI往往都不是真实的地址。

实际案例：
我们现在有一个画面，假如从菜单中进入画面的URI为“list.jsf”，画面上有“新增”、“查询”两个Button，当点击“查询”这个Button时，查询结果并显示在“list.jsf”这个页面上，当点击“新增”这个Button时，跳转到“add.jsf”这个页面，新增画面中还有一个“返回”Button。当我们点击“新增”时，在Filter中得到的URI为“list.jsf”，实际上我们要跳转到“add.jsf”这个页面，当我们点击“返回”Button时，Filter中得到URI的是“add.jsf”，这与我们实际要跳转到的页面“list.jsf”又不符。如果我们仅仅在Filter中根据URI来判断权限，那么当一个用户不具有新增权限时，就会出现可以操作新增功能的事情，这样便未达到权限控制的目的。

问题解决：
JSF提供了自定义Application的可能，通过研究JSF的实现可以发现JSF控制页面的跳转都是在NavigationHandler中完成的。那么我们来试着实现一个自己的NavigationHandler，解决这一问题。先给出详细的实现：

  1

来看看其中的关键部分，149行起：

UIViewRoot newRoot = null;
context.setViewRoot(newRoot);

当然别忘了在faces-config.xml中加入自定义Application Navigation的配置，如下：

 1<faces-config>
 2    <application>
 3        <navigation-handler id="navigationWithAuth">
 4            com.***.framework.NavigationHandleWithAuthImpl
 5        </navigation-handler>
 6    </application>
 7
 8
 9
10
11</faces-config>

注意：
在NavigationHandler中，当发现检查URL权限未能通过时，千万不要直接去修改当前的那个CaseStruts，因为JSF自己会缓存整个跳转的配置，以提高执行效率，请使用viewHandler.createView()来创建一个新CaseStruts，否则会发生跳转不正常的情况。