添加身份验证
play提供了一个模块-Secure(安全模块),用来做身份验证
允许Secure模块
修改yabe\conf\dependencies.yml，加入对secure的依赖
# Application dependenciesrequire:- play -> crud- play -> secure
cmd命令行执行dependencies命令
E:\technology-hqh\proj\play-framework\yabe>play dependencies
cmd命令行执行eclipsify命令
E:\technology-hqh\proj\play-framework\yabe>play eclipsify
刷新工程，IDE中便可导入依赖包
修改yabe\conf\routes文件，为secure配置路由
# Routes
# This file defines all application routes (Higher priority routes first)
# ~~~~# Home page
GET / Application.index#import Secure routes
* / module:secure# restful style route
GET /post/{id} Application.showPOST /post/{postId}/comments Application.postCommentGET /captcha Application.captcha#import CRUD module
* /admin module:crud# Ignore favicon requests
GET /favicon.ico 404# Map static resources from the /app/public folder to the /public path
GET /public/ staticDir:public# Catch all
* /{controller}/{action} {controller}.{action}
Secure需要的配置基本完成，访问主页仍然可以直接进入
这是因为还没有对任何Controller指定是否需要验证，所以还Secure还没开始工作！
为控制器添加身份验证
使用注解@With(Secure.class)标识Controller，Secure就会对访问该控制器进行身份验证
如，在Application类上加@With(Secure.class)
@With(Secure.class)
public class Application extends Controller {......}刷新页面，Secure开始工作了
随便输入用户名和密码都可以登录，即系统验证功能还没有真正开始
使用http://localhost:9000/logout 可以注销登录
定制系统身份认证
应用程序必须提供一个controllers.Secure.Security实例来定制身份认证处理。
通过继承这个类来创建我们自己版本的Secure类，可以指定如何对用户身份进行认证。
yabe\app\controllers下创建Security，重写authenticate()
package controllers;import models.User;public class Security extends Secure.Security {static boolean authenticate(String username, String password) {return User.login(username, password);}
}
修改User类，增加username属性，以及一个以username和password为条件的查询的方法
package models;import java.util.ArrayList;
import java.util.List;import javax.persistence.Entity;
import javax.persistence.OneToMany;import play.data.validation.Email;
import play.data.validation.Required;
import play.db.jpa.Model;@Entity
public class User extends Model {@Requiredpublic String username;@Email@Requiredpublic String email;@Required(message="input your pwd now!")public String password;public String fullname;public boolean isAdmin;//@OneToMany 声明User与Post之间是1对多的关系//mappedBy="author" 表示将通过对方(User)的author字段来进行关联关系的维护@OneToMany(mappedBy="author")public List<Post> posts;public User(String email,String password, String fullname) {this.email = email;this.password = password;this.fullname = fullname;this.posts = new ArrayList<Post>(0);}/*** 联合email和password两个条件查询User* @param email* @param password* @return*/public static User connect(String email, String password) {return find("byEmailAndPassword", email, password).first();}/*** 登陆时根据username和password查询User* 如果存在，则允许登陆* @param username* @param password* @return*/public static boolean login(String username, String password) {return find("byUsernameAndPassword", username, password).first() != null;}/*** 添加Post的动作放到User中，这样可以把Post设置到User的List<Post>集合中* 这样实现了双方都持有对方的引用了* @param title* @param content* @return*/public User addPost(String title, String content) {Post post = new Post(title,content,this).save();this.posts.add(post);this.save();return this;}@Overridepublic String toString() {return "User [" + fullname + "]";}}
修改yabe\conf\initial-data.yml ，为User对象加入username初始化值
注意，该文件对TAB键不友好，只认空格符作为间隔
# Test dataUser(bob):username: bobemail: bob@gmail.compassword: secretfullname: BobisAdmin: trueUser(jeff):username: jeffemail: jeff@gmail.compassword: secretfullname: Jeff User(paul):username: paulemail: paul@gmail.compassword: secretfullname: Paul ...http://localhost:9000/logout 注销，重新登陆
此时，只有输入正确的用户名和密码才能进入系统了
有效账户yml中的初始用户：[bob,secret] ：[jeff,secret]：[paul,secret]
但是，对CRUD页面 http://localhost:9000/admin/ 控制不起作用！
集成CRUD管理域到博客中
超级用户可以管理所有的博客
普通用户可以管理自己的博客
首先，看一下用户登陆验证的内部执行逻辑
public class Secure extends Controller中的方法
/*** 登陆页面，点击登陆，将执行此方法* username* password* checkbox框 --- remember*/
public static void authenticate(@Required String username, String password, boolean remember) throws Throwable {// Check tokensBoolean allowed = false;try {// This is the deprecated method name// 该方法废弃，所以这里总会抛异常，进而执行catch块的代码allowed = (Boolean)Security.invoke("authentify", username, password);} catch (UnsupportedOperationException e ) {// This is the official method name// 子类(class Security extends Secure.Security)复写了authenticate()，所以这里将调用我们自己的authenticate()，根据用户名和密码查询数据库allowed = (Boolean)Security.invoke("authenticate", username, password);}if(validation.hasErrors() || !allowed) {flash.keep("url");flash.error("secure.error");params.flash();login();}// Mark user as connected// 如果登陆成功，session中存入登陆用户名session.put("username", username);// Remember if needed// 如果需要保存登陆状态，则应勾选登陆页面的checkbox框if(remember) {Date expiration = new Date();String duration = "30d"; // maybe make this override-able expiration.setTime(expiration.getTime() + Time.parseDuration(duration));response.setCookie("rememberme", Crypto.sign(username + "-" + expiration.getTime()) + "-" + username + "-" + expiration.getTime(), duration);}// Redirect to the original URL (or /)redirectToOriginalURL();}
创建一个新的Controller，该控制器用来对CRUD管理界面进行控制
package controllers;import models.User;
import play.mvc.Before;
import play.mvc.Controller;public class Admin extends Controller {/*** 首先，用户登陆会被Security拦截，登陆成功会把username放入session中* session.put("username",username);* 通过session.contains("username");判断用户是否已经登陆* * @Before 访问Admin控制器时，将先执行由该注解标注的方法，进行拦截（过滤/检查）*/@Beforestatic void setConnectedUser() {//Security.isConnected() 检查session中是否有username为key的map存在//因为用户登陆后会用username作为key存储登陆信息if(Security.isConnected()) {//Security.connected() 取得session中以username为key的value，即用户名User user = User.find("byUsername", Security.connected()).first();renderArgs.put("user", user.fullname);}}//返回管理CRUD功能模块的主页面public static void index(){render();}}
为Admin控制器的index()添加模板
创建yabe\app\views\Admin\index.html
Welcome ${user}!
在主页面为Admin为CRUD功能模块加入超链接
更改Log in to write something的href属性，使其指向Admin的index()
<ul id="tools"><li><a href="@{Admin.index()}">Log in to write something</a></li>
</ul>
刷新页面
跳转到管理页面
当然，这里只是简单取了一下Admin.java中 @Before标注的setConnectedUser()方法所设置的用户名
到这里，完成了2个操作
一是Admin控制器中使用了拦截器，通过@Before进行设置
二是从Security.connected()中获得当前登陆的用户名，再使用renderArgs.put(key,value)将信息传递到页面中，以便进行显示当前登陆用户。
为CRUD模块管理页面配置一个模板
这里为admin/index.html配置一个父模板，对页面进行统一的设置(标题，附加信息，版权声明等)
<!DOCTYPE html><html><head><title>Administration</title><meta charset="utf-8"><link rel="stylesheet" media="screen" href="@{'/public/stylesheets/main.css'}"><link rel="shortcut icon" type="image/png" href="@{'/public/images/favicon.png'}"><script src="@{'/public/javascripts/jquery-1.6.4.min.js'}" type="text/javascript"></script><script src="@{'/public/javascripts/jquery.tools-1.2.5.toolbox.expose.min.js'}" type="text/javascript"></script></head><body id="admin"><!-- 页面顶部显示的信息 --><div id="header"><div id="log">yabe. <span>administration</span></div><ul id="tools"><!-- 调用Secure的logout()进行注销 --><li><a href="@{Secure.logout()}">Log out</a></li></ul></div><!-- 子模板内容显示区 --><div id="main">#{doLayout /}</div><!-- 页脚 --><p id="footer">Yabe is a (not that) powerful bolg engine built with the <a href="http://playframework.org">Play framework</a> as a tutorial application.</p></body>
</html>
刷新页面
可见模板已经开始生效了，点击logout，则登出
这里调用的是Secure内部的logout()，而且可以复写Secure中的其它方法
比如，登出之后需要进行某些操作，则复写onDisconnected()
比如，登录成功之后要进行某些操作，则复写onAuthenticated()
package controllers;import play.Logger;
import models.User;public class Security extends Secure.Security {static boolean authenticate(String username, String password) {return User.login(username, password);}/*** 登陆成功后会调用onAuthenticated()*/static void onAuthenticated() {Logger.info(Secure.Security.connected()+"\tlogin");//Admin.index();//登陆成功后，自动跳转到管理页面}/*** 注销后会调用onDisconnected()*/static void onDisconnected() {Logger.info(Secure.Security.connected()+"\tloginlogout");Application.index();}}
到此，CRUD管理页面尚未提供任何可操作的功能
现在，继续编辑模板，加入CRUD的超链接到管理页面
<!DOCTYPE html><html><head><title>Administration</title><meta charset="utf-8"><link rel="stylesheet" media="screen" href="@{'/public/stylesheets/main.css'}"><link rel="shortcut icon" type="image/png" href="@{'/public/images/favicon.png'}"><script src="@{'/public/javascripts/jquery-1.6.4.min.js'}" type="text/javascript"></script><script src="@{'/public/javascripts/jquery.tools-1.2.5.toolbox.expose.min.js'}" type="text/javascript"></script></head><body id="admin"><!-- 页面顶部显示的信息 --><div id="header"><div id="log">yabe. <span>administration</span></div><ul id="tools"><!-- 调用Secure的logout()进行注销 --><li><a href="@{Secure.logout()}">Log out</a></li></ul></div><!-- 子模板内容显示区 --><div id="main"><ul id="adminMenu"><!-- 如果登陆用户是超级管理员，则显示 --><li class="${request.controller == 'Admin' ? 'selected' : ''}"><a href="@{Admin.index()}">My Posts</a></li><!-- 使用Secure.check() 控制是否为超级用户，如果是，则显示下面的<li/> -->#{secure.check 'admin'}<li class="${request.controller == 'Posts' ? 'selected' : ''}"><a href="@{Posts.list()}">Posts</a></li><li class="${request.controller == 'Comments' ? 'selected' : ''}"><a href="@{Comments.list()}">Comments</a></li><li class="${request.controller == 'Users' ? 'selected' : ''}"><a href="@{Users.list()}">Users</a></li><!-- 注意这里的结束标签是写在前面的！ -->#{/secure.check}</ul>#{doLayout /}</div><!-- 页脚 --><p id="footer">Yabe is a (not that) powerful bolg engine built with the <a href="http://playframework.org">Play framework</a> as a tutorial application.</p></body>
</html>
登出，使用一个isAdmin属性为false的账户(jeff或paul)进行登陆
打开管理页面，注意，当前是用paul进行登陆的，非管理员权限，但是其可以看到所有的博文
这是不行的！非管理员只应该看到自己的博文！
虽然admin.html模板中，已经使用了判断是否为'admin'属性了，但是，请注意，play默认的check()返回的是true。就好像做登陆那里一样，子类没有重写authenticate()时，不管用什么用户登陆都成功一样。
在Security控制器中覆盖Secure.Security的check()
package controllers;import play.Logger;
import models.User;public class Security extends Secure.Security {/*** 覆盖Secure.Security中的authenticate()* 这样，play在进行登录验证时，就会调用到子类写的方法了* @param username* @param password* @return*/static boolean authenticate(String username, String password) {return User.login(username, password);}/*** 登陆成功后会调用onAuthenticated()*/static void onAuthenticated() {Logger.info(Secure.Security.connected()+"\tlogin");}/*** 注销后会调用onDisconnected()*/static void onDisconnected() {Logger.info(Secure.Security.connected()+"\tloginlogout");Application.index();}/*** 用户登陆成功后，继续对其操作权限进一步校验* 如果User的isAdmin属性为true，则返回true，即其状态为'admin'* @param profile play将登陆用户的用户名传入* @return*/static boolean check(String profile) {if("admin".equals(profile)) {return User.find("byUsername", Secure.Security.connected()).<User>first().isAdmin;}return false;}}
刷新页面，可以看到系统中所有实体对象的CRUD链接都没有呈现了，因为paul不是管理员
登出，使用bob进行登陆
由于bob的isAdmin属性为true，所以，他能看到所有的实体对象的CRUD链接
到这里，完成一半的工作了。
接下来考虑的是，普通用户登陆后，使用超管进行CRUD的链接直接操作资源
虽然他的权限不够导致页面无法呈现管理模块的链接，但他可以自己手动输入链接来访问资源
比如，paul不是超管，但是他知道管理博文的地址：http://localhost:9000/admin/posts
paul登陆后，手动链接到这个地址，一样可以进行CRUD操作
该如何是好？
第一，对CURD进行控制
当前，任何人都能通过http://localhost:9000/admin/访问CRUD管理对象
现在就对其进行控制
在每个实体对象对应的Controller上加入注解@With(Secure.class)，表示访问该资源需要进行身份认证操作，如果认证失败，则由play自动跳转到index页面
package controllers;import play.mvc.With;@With(Secure.class)
public class Posts extends CRUD {}
package controllers;import play.mvc.With;@With(Secure.class)
public class Comments extends CRUD {}
package controllers;import play.mvc.With;@With(Secure.class)
public class Users extends CRUD {}
现在，未登陆用户虽然能进入CRUD页面，但是无法进行对象的操作了！
第二，防止无超管权限的用户手工输入CRUD的管理链接进行非法操作
同样是通过注解来完成@check("admin")，检查当前用户是否具备超管权限
play考虑很周到，每个小功能都用一个注解来完成，很贴心！
package controllers;import play.mvc.With;//访问Post对象的列表，需要检查是是否登陆成功，没有，则返回登陆页面
@With(Secure.class)//操作Post对象，是否具有超管权限，没有，则提示Access Denied
@Check("admin")
public class Posts extends CRUD {}
Comments、Users进行同样的操作即可。
使用非管理员账号登陆，手动输入Post对象的管理链接http://localhost:9000/admin/posts
到此，未登陆用户不能访问CRUD页面，普通用户不能进行实体对象的CRUD操作！
修改CRUD模块的布局
为了让CRUD模块的布局与博客系统整体布局一致，需要重写其模板
首先要得到CRUD模板元素的布局方案
( play实际上就是将CRUD模块拷贝到了项目的views路径下：
Copied
E:\technology-hqh\soft\play-1.2.5\modules\crud\app/views/CRUD/layout.html
to
E:\technology-hqh\proj\play-framework\yabe\app/views/CRUD/layout.html
)
E:\technology-hqh\proj\play-framework\yabe>play crud:ov --layout
然后运行eclipsify命令，以便让IDE能够更新到新的内容
E:\technology-hqh\proj\play-framework\yabe>play eclipsify
此时，IDE的views目录下便多了一个目录-CRUD,其下有一个layout.html文件
修改这个文件，让其继承admin.html，并做一些调整
#{extends 'admin.html' /}
#{set 'moreStyles'}<link rel="stylesheet" type="text/css" media="screen" href="@{'/public/stylesheets/crud.css'}" />
#{/set}<div id="crud">#{if flash.success}<div class="crudFlash flashSuccess">${flash.success}</div>#{/if}#{if flash.error || error}<div class="crudFlash flashError">${error ?: flash.error}</div>#{/if}<div id="crudContent">#{doLayout /}</div></div>
刷新页面，此时CRUD页面的布局发生了变化，与系统的基本保持你一致了
修改登陆页面的样式
为登陆页面定制样式
cmd命令行：
E:\technology-hqh\proj\play-framework\yabe>play secure:ov --css
E:\technology-hqh\proj\play-framework\yabe>play eclipsify
刷新IDE
编辑yabe\public\stylesheets\secure.css
在其文本最上方加入一行
@import url(main.css);
默认登陆页面
刷新页面
继承了main.css，感觉没默认的漂亮哦~~~
修改登陆页面的文字
打开yabe\conf\messages，加入以下内容替换登陆页面的文字
secure.username=用户名: secure.password=密码: secure.remember=下次自动登陆secure.signin=登陆
刷新页面
