动态 Proxy 与 Java ACL 用户访问控制机制实现
本文通过分析 Proxy 和 JavaACL,主要介绍实现用户访问控制机制。
用户访问控制(Access control )机制总是围绕粗粒度和细粒度两个方面来讨论:
粗粒度控制:可以规定访问整个对象或对象群的某个层,而细粒度控制则总是在方
法或属性层进行控制,比如:
允许一个文件为只读是属于粗粒度控制,而允许对这个文件某行有写操作则属于细
粒度控制。
一个好的用户控制机制当然既允许粗粒度也允许细粒度控制,在 Jive 中我们看到是
使用 Proxy 来达到这个目的,但是我们也发现,由于需要对每个类都要进行细粒度控制,
所 以必 然对 每个 类都 要做 一个 Proxy 类 ,这 样带 来了 很多 Proxy 类, 如 ForumProxy
ForumThreadProxy ForumFactoryProxy 等,无形增加了系统复杂性。
使用动态 Proxy 可以很好的解决这个问题。再结合 java.security.acl 的 ACL 机制,我们
就可以灵活地实现粗粒度和细粒度的双重控制。
当一个用户 login 后,我们就要在内存中为其建立相应的授权访问机制,使用
java.security.acl 可以很方便的建立这样一个安全系统。
首先任何一个对象都应该有个基本属性:拥有者 或拥有者所属组(Windows 中每个目
录安全描述符都由 4 部分构成:对象的创建者、对象所属的组、自由存取控制和系统存取
控制)。
1. Java acl
开始第一步是建立一个主体 Principal,其中 SecurityOwner 是主体的拥
有者: private static final Principal _securityOwner = new PrincipalImpl("SecurityOwner");
2. 当 用 户 login 进 来 时 , 他 带 有 两 个 基 本 数 据 : 访问密码和他要访问的对象
ApplicationName。首先验证用户名和密码,然后从数据库中取出其权限数据,建立
Permission,这里使用 Feature 继承了 Permission,在 Feature 中定义了有关权限的细节数据
(
如读 写 删)。
// 取出用户和被访问对象之间的权限关系,这种权限关系可能不只一个,也就是说,
用户
//
可能对被访问对象拥有读 写 删等多个权限,将其打包在 Hasbtable 中。
Hashtable features = loadFeaturesForUser(sApplicationName, sUserID);
3. 创建一个用户对象
User user = new UserImpl(sUserID, new Hashtable() );
4. 为这个用户创建一个活动的 acl entry
addAclEntry( user, features);
其中最关键的是第四步 addAclEntry,我们看看其如何实现的:
// 为这个用户创建一个新的 Acl entry
AclEntry newAclEntry = new AclEntryImpl( user);