?????? 控制客户端访问是开发一个基于B/S的架构的系统的开发者必须考虑的问题。JSP或SERVLET规范的基于配置文件的安全策略对资源的控制是以文件为单 位的，即只可以定义某个视图全部可以或全部不能被访问。一个比较复杂的系统往往要要求对视图的一部分（如JSP页面里的一个按钮）提供访问控制，只允许被 某种角色的用户访问。如果采用可编程的安全策略，因为对用户角色和操作的定义在开发时不能定义，而且这种策略加大了程序员的工作量，它可能不是一种好的办 法。
?????? 我采用定制标签库和和配置文件来解决这个问题：把要权限控制的JSP页面元素如BUTTON，作为标签的内容。为受保护的内容起一个唯一的名称，把这个名称作为标签的一个属性。某个角色对某个页面元素或一组页面元素是否有权限，在XML配置文件中描述。
?
?????? 例如，下面的JSP页面有“详细”和“修改”两个按钮。
<%@ taglib uri="http://mytag" prefix="custTag" %>
<html>
<head>
<title>test</title>
</head>
<body >
<form name="form1" >
?? <table width="600" border="0" cellspacing="0" cellpadding="2" >
????? <tr>
?????? <td>
??????????? <custTag:JspSecurity elementName="employeedetail" >
????????????? <input type="button" name="detail"? value="详细" >
??????????? </custTag:JspSecurity>
??????????? <custTag:JspSecurity elementName="employeemodify" >
????????????? <input type="button" name="modify"? value="修改" >
??????????? </custTag:JspSecurity>
??????? </td>
????? </tr>
</table>
<br>
</form>
</body>
?
?????? 下面XML配置文件内容表示对角色为common的用户，只对名为employeedetail 的页面元素即“详细”按钮有权限，对角色为“admin”的用户，对名为employeedetail 和employeemodify的页面元素即两个按钮都有权限。
<?xml version="1.0" encoding="GB2312"?>
<security>
<htmlElement name="employeedetail" >
<roleName name="common" />
<roleName name="admin" />
</htmlElement>
<htmlElement name="employeemodify" >
<roleName name="admin" />
</htmlElement>
</security>
?
?????? 定制标签类JspSecurityTag继承了BodyTagSupport类。BodyTagSupport有一个变量bodyContent指向起始 标志和结束标志之间的内容。JspSecurityTag的私有静态变量roleList保存从XML文件中取到角色和页面元素的对应集合，私有变量 ElementName对应页面元素的名称。当解析该定制标签时，首先先取到页面元素的名称，再取到当前用户的角色，如果角色有该页面元素的权限，就显示 标签正文（即页面元素），否则不显示。
?
Pagekage com.presentation.viewhelper.JspSecurityTag;
?
import javax.servlet.jsp.tagext.*;
import javax.servlet.jsp.*;
import java.util.*;
import org.xml.sax.*;
import org.xml.sax.helpers.*;
import org.w3c.dom.*;
import java.io.*;
import javax.xml.parsers.*;
?
public class JspSecurityTag extends BodyTagSupport {
? //保存从XML文件中取到角色和页面元素的对应集合
? private static ArrayList roleList;
? //页面元素的名称
? private String elementName;
?
? public void setElementName(String str)
? {
??? this.elementName=str;
? }
?
? public int doAfterBody() throws JspException{
??? if(roleList==null)
??? {
????? roleList=getList();
??? }
??? try{
??????? //如果认证通过就显示标签正文，否则跳过标签正文，就这么简单
??????? if(isAuthentificated(elementName))
???? ???{
????????? if(bodyContent != null){
??????????? JspWriter out=bodyContent.getEnclosingWriter();
??????????? bodyContent.writeOut(out);
????????? }else
????????? {
????????? }
??????? }
??? }catch(Exception e){
????? throw new JspException();
??? }
??? return SKIP_BODY;
? }
? //从XML配置文件中取到角色和页面元素的对应，保存到静态的ArrayList
? private ArrayList getList()
? {
??? DocumentBuilderFactory dbf =
??????? DocumentBuilderFactory.newInstance();
??? DocumentBuilder db = null;
??? Document doc=null;
??? NodeList childlist = null;
??? String elementName;
??? String roleName;
??? int index;
??? ArrayList theList = new ArrayList();
?
??? try{
????? db = dbf.newDocumentBuilder();
??? }catch(Exception e)
??? {
????? e.printStackTrace();
??? }
??? try{
????? doc = db.parse(new File("security.xml"));
??? }catch(Exception e)
??? {
????? e.printStackTrace();
??? }
??? //读取页面元素列表
??? NodeList elementList = doc.getElementsByTagName("htmlElement");
??? for(int i=0;i<elementList.getLength();i++)
??? {
????? Element name = ((Element)elementList.item(i));
????? //页面元素的名称
????? elementName = name.getAttribute("name");
??? ??//该页面元素对应的有权限的角色的列表
????? NodeList rolNodeList = ((NodeList)name.getElementsByTagName("roleName"));
????? for(int j=0;j<rolNodeList.getLength();j++)
????? {
??????? //有权限的角色的名称
??????? //roleName = ((Element)rolNodeList.item(j)).getNodeValue();
??????? roleName = ((Element)rolNodeList.item(j)).getAttribute("name");
??????? theList.add(new ElementAndRole(elementName,roleName));
????? }
??? }
??? return theList;
? }
?
? //检查该角色是否有该页面元素的权限
? private boolean isAuthentificated(String elementName)
? {
String roleName = "";
//在用户登陆时把该用户的角色保存到SESSION中，这里只是直接从SESSION中取用//户角色。
roleName=this.pageContext.getSession().getAttribute("rolename”);
// roleList包含elementName属性为elementName，roleName属性为roleName的//ElementAndRole对象，则该角色有该页面元素的权限
???? if(roleList.contains(new ElementAndRole(elementName,roleName)))
????? ??? {
??????? ?????? return true;
????? ??? }
??? }
??? return? false;
? }
? //表示角色和页面元素的对应的关系的内部类
? class ElementAndRole{
??? String elementName;
??? String roleName;
??? public ElementAndRole(String elementName,String roleName)
??? {
????? this.elementName=elementName;
????? this.roleName=roleName;
??? }
??? public boolean equals(Object obj)
??? {
????? return(((ElementAndRole)obj).elementName.equals(this.elementName)&&((ElementAndRole)obj).roleName.equals(this.roleName));
??? }
? }
}
在标签库能被JSP页面使用前，要做以下三个步骤
1、? 在JSP页面中包括一个taglib元素，确定需要加载到内存的标签库。前面的JSP文件的第一行：<%@ taglib uri="http://mytag" prefix="custTag" %>做的就是这件事。
2、? 在配置文件web.xml中使用taglib元素确定TLD文件的位置。在web.xml中增加：
? <taglib>
??? <taglib-uri>http://mytag</taglib-uri>
??? <taglib-location>
??? ???/WEB-INF/mytag.tld
??? </taglib-location>
? </taglib>
3、TLD文件必须使用taglib元素标识每个定制标签极其属性。
下面是使用这个标签库对应的TLD文件
<?xml version="1.0" encoding="ISO-8859-1" ?>
<!DOCTYPE taglib
?PUBLIC "-//Sun Microsystems, Inc.//DTD JSP Tag Library 1.1//EN"
?"http://java.sun.com/j2ee/dtds/web-jsptaglibrary_1_1.dtd">
<taglib>
? <tlibversion>1.0</tlibversion>
? <jspversion>1.1</jspversion>
? <shortname>myTag</shortname>
? <uri/>
? <tag>
??? <name>JspSecurity</name>
??? <tagclass>com.presentation.viewhelper.JspSecurityTag</tagclass>
??? <info>
?????? JspSecurityTag
??? </info>
??? <attribute>
?????? <name>elementName</name>
?????? <required>true</required>
?????? <rtexprvalue>true</rtexprvalue>
??? </attribute>
? </tag>
</taglib>
?