オープンソースTERASOLUNAで作るWebアプリ（5）

TERASOLUNAのセキュリティ機能でWebアプリを強化

株式会社NTTデータ技術開発本部ソフトウェア工学推進センタ
佐々木高洋
2009/3/10

■ ユーザー一覧画面へのアクセスを制限する

　アクセス権限チェックのクラス実装例を以下に示します。

リスト12 SampleAuthorizationController.java

package sample2;

                    

              import javax.servlet.ServletRequest;

              import javax.servlet.http.HttpServletRequest;

              import javax.servlet.http.HttpSession;

              

              import jp.terasoluna.fw.web.RequestUtil;

              import jp.terasoluna.fw.web.UserValueObject;

              import jp.terasoluna.fw.web.thin.AuthorizationController;

              

              public class SampleAuthorizationController 

              implements AuthorizationController {

              

                  public boolean isCheckRequired(ServletRequest req) {

                      // リクエストパスが/listで始まるならチェックする

                      return RequestUtil.getPathInfo(req).startsWith("/list");

                  }

              

                  public boolean isAuthorized(String pathInfo, ServletRequest req) 

                  {

                      // セッションを取得

                      HttpSession session =((HttpServletRequest)req).getSession();

              

                      // セッションからUVOを取得

                      SampleUVO uvo = (SampleUVO) session.

                          getAttribute(UserValueObject.USER_VALUE_OBJECT_KEY);

                      if (uvo == null) {

                          // セッションにUVOがなければ不許可

                          return false;

                      }

                      // IDが10未満であれば許可

                      return Integer.valueOf(uvo.getUserId()) < 10;

                  }

              }

　applicationContext.xmlに、アクセス権限チェックの実装クラスを定義します。

リスト13 applicationContext.xml

  <!-- アクセス権限チェック設定 -->

                <bean id="authorizationController"

                  class="sample2.SampleAuthorizationController" />

　web.xmlには、アクセス権限チェックのフィルタ設定と、アクセスが拒否されて例外UnauthorizedExceptionがスローされた場合の遷移先定義を追記します。

リスト14 web.xml

   <!-- アクセス権限チェック -->

                <filter>

                  <filter-name>authorizationControlFilter</filter-name>

                  <filter-class>

                    jp.terasoluna.fw.web.thin.AuthorizationControlFilter

                  </filter-class>

                </filter>

                <filter-mapping>

                  <filter-name>authorizationControlFilter</filter-name>

                  <url-pattern>/*</url-pattern>

                </filter-mapping>

              

              …（中略）…

              

                <error-page>

                  <exception-type>

                    jp.terasoluna.fw.web.thin.UnauthorizedException

                  </exception-type>

                  <location>/authorizationError.jsp</location>

                </error-page>

　遷移先エラーページを作成します。

リスト15 authorizationError.jsp

<%@ page contentType="text/html; charset=Windows-31J"%>

              <%@ taglib uri="/struts-html" prefix="html"%>

              <%@ taglib uri="/terasoluna-struts" prefix="ts"%>

              <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">

              <html:html>

              <head>

                <meta http-equiv="Content-Type" content="text/html; charset=shift_jis">

                <title>アクセス権限エラー</title>

              </head>

              <body>

                このページの閲覧権限がありません

              </body>

              </html:html>

　確認してみましょう。ユーザーIDが10以上のユーザーがユーザー一覧画面へアクセスしようとすると、エラーページへ遷移するようになります。

図6　アクセス権限エラーページ

■ ボタンを非表示にする

　ログオン成功画面にある「ユーザ一覧」ボタンを、ユーザー一覧画面へのアクセス権を持たないユーザーには見せないようにします。

　ログオン成功画面（certified.jsp）の「ユーザー一覧ボタン」を、以下のように<t:ifAuthorized>タグで囲います。

  <t:ifAuthorized path="/listBL">

            <ts:submit>ユーザー一覧</ts:submit>

          </t:ifAuthorized>

　このタグで囲まれた部分は、pathで指定された「/listBL」パスへのアクセス権限を持つユーザーにのみ表示されるようになります。

■ アクセス権限チェックの確認

　ユーザーIDが10以上のユーザーは、ログオン成功画面に「ユーザー一覧」ボタンが表示されなくなります。

図7　ログオン成功画面（「ユーザー一覧」ボタンなし）

さまざまなプロジェクトを経た実用性の高いフレームワーク

　連載5回にわたってTERASOLUNAフレームワークを利用したWebアプリケーションを作成してきましたが、いかがでしたでしょうか。

　TERASOLUNAフレームワークは、NTTデータ内の大小さまざまなプロジェクトで使用され、そこからフィードバックを受けて改善され続けてきました。採用されている機能の多くは、実際の商用プロジェクトで開発され、使用されたものを取り込んだ実用性の高い機能です。

　日本語ドキュメントやサンプルも豊富にありSourceForge.JP上で公開されているため、ぜひ使ってみてはいかがでしょうか。

■ ＠IT関連記事

Webアプリの常識をJSPとStrutsで身につける
JSP／サーブレット＋StrutsのWebアプリケーション開発を通じて、Java言語以外の開発にも通用するWebアプリケーション全般の広い知識・常識を身に付けるための連載です。初心者・中堅・ベテランも大歓迎！

Strutsを使うWebアプリケーション構築術
ステップ・バイ・ステップの解説で誰にも分かるStruts講座。効率の高いWebアプリケーション開発をマスターしよう

開発の標準化とフレームワークの普及
21世紀はじめのWeb技術史（2）　今回は、ソフトウェア品質を高めるために進化を遂げてきたアプリケーション開発環境の最近の道筋を概観する。キーワードはフレームワーク

情報マネジメント > アーキテクチャ 2007/3/19

Javaバッチ処理は本当に業務で“使える”の？
オープンソースフレームワークを使ってバッチ処理の開発手法やノウハウを学んでいく本連載。バッチ処理を知っている人も知らない人も、業務システムに欠かせないバッチ処理について理解を深めましょう

.NET開発でもオープンソース・フレームワークを使おう
TERASOLUNA for .NETフレームワーク概説　.NET Frameworkだけの業務システム開発で起こる問題とは？それを解消するのに役立つフレームワークの条件とは？

「Insider.NET」フォーラム 2003/9/30

1-2-3

　Index

第5回　TERASOLUNAのセキュリティ機能でWebアプリを強化
	Page1 ログオンした情報を管理する「ユーザー情報保持機能」
	Page2 特定アクセスの画面を作る「アクセス権限チェック機能」
	Page3 さまざまなプロジェクトを経た実用性の高いフレームワーク

オープンソースTERASOLUNAで作るWebアプリバックナンバー連載インデックスへ»

Java Solution全記事一覧

TechTargetジャパン

Java Solution フォーラム新着記事

Scalaのパッケージ、アクセス修飾子、オブジェクト継承 （2012/5/22）
　インポート、パッケージオブジェクト、抽象クラス／抽象メソッド、オーバーライド、final、シールドクラスなども
基幹系システムでCloud SQLは使えるか試してみた （2012/5/17）
サンプルとしてMRPシステムを作成して動かし、「再帰呼び出し」などのパフォーマンスを測定して検証してみます
アジャイル管理ツール9選＋Pivotal Tracker入門 （2012/5/14）
　群雄割拠のアジャイルプロジェクト管理ツールを9つ紹介し、特に注目を集めているPivotal Trackerの基本的な使い方を解説します
サーバサイドJSやJavaでWebアプリが作れるXPages （2012/5/11）
　Notes/Dominoの資産をサーバサイドJavaScriptやJavaで操作し、HTMLやJavaScript、CSSをUIにできる技術を紹介

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）

RSSフィード

＠IT 新着記事

キャリアアップ

- PR -

＠IT Sepcial

＠IT Special ヘ

イベントカレンダー

PickUpイベント

- PR -

アクセスランキング

ニュース一覧へ

- PR -

お勧め求人情報

転職／派遣情報を探す

エンジニアの求人情報、ただいま増加中
【転職サーチ】SIer／Web企業／新規事業
スマホ開発で、あなたのキャリアを生かす

派遣エンジニアにお役立ちの仕事情報
「派遣・フリーで働くメリット」とは？
活躍する派遣エンジニアの本音

エンジニアのキャリア実現を応援します

ITトレメ「ビジネス基礎」シリーズ開始
「マナー＆コミュニケーション編」「法律・知財・債権管理編」

＊先週の人気講座ランキング＊
～ Android編～

ホワイトペーパー（TechTargetジャパン）