Redditアプリへの役割と特権の追加

投稿日: 2019-10-18 2022-10-30
タグ: REST, Spring

1. 概要

今回の記事では、 Redditアプリに簡単な役割と特権を導入し、次のような興味深いことを実行できるようにします。通常のユーザーが1日にRedditにスケジュールできる投稿の数を制限します。

また、管理者の役割（および暗黙的に管理者ユーザー）を持つため、管理者管理領域も追加します。

**2. ユーザー、役割および特権エンティティ**

まず、 User エンティティ（ Reddit Appシリーズで使用）を変更して、役割を追加します。

@Entity
public class User {
    ...

    @ManyToMany(fetch = FetchType.EAGER)
    @JoinTable(name = "users_roles", 
      joinColumns = @JoinColumn(name = "user_id", referencedColumnName = "id"), 
      inverseJoinColumns = @JoinColumn(name = "role_id", referencedColumnName = "id"))
    private Collection<Role> roles;

    ...
}

ユーザーと役割の関係が多対多で柔軟であることに注意してください。

次に、RoleエンティティとPrivilegeエンティティを定義します。その実装の詳細については、Baeldungに関するこの記事を確認してください。

3. 設定

次に、プロジェクトのブートストラップでいくつかの基本的なセットアップを実行して、これらの役割と特権を作成します。

private void createRoles() {
    Privilege adminReadPrivilege = createPrivilegeIfNotFound("ADMIN_READ_PRIVILEGE");
    Privilege adminWritePrivilege = createPrivilegeIfNotFound("ADMIN_WRITE_PRIVILEGE");
    Privilege postLimitedPrivilege = createPrivilegeIfNotFound("POST_LIMITED_PRIVILEGE");
    Privilege postUnlimitedPrivilege = createPrivilegeIfNotFound("POST_UNLIMITED_PRIVILEGE");

    createRoleIfNotFound("ROLE_ADMIN", Arrays.asList(adminReadPrivilege, adminWritePrivilege));
    createRoleIfNotFound("ROLE_SUPER_USER", Arrays.asList(postUnlimitedPrivilege));
    createRoleIfNotFound("ROLE_USER", Arrays.asList(postLimitedPrivilege));
}

そして、テストユーザーを管理者にします。

private void createTestUser() {
    Role adminRole = roleRepository.findByName("ROLE_ADMIN");
    Role superUserRole = roleRepository.findByName("ROLE_SUPER_USER");
    ...
    userJohn.setRoles(Arrays.asList(adminRole, superUserRole));
}

4. 標準ユーザーの登録

また、 registerNewUser（）実装を介して標準ユーザーを登録していることを確認する必要があります。

@Override
public void registerNewUser(String username, String email, String password) {
    ...
    Role role = roleRepository.findByName("ROLE_USER");
    user.setRoles(Arrays.asList(role));
}

システム内の役割は次のとおりであることに注意してください。

ROLE_USER ：通常のユーザー（デフォルトの役割）の場合–これらには、1日にスケジュールできる投稿の数に制限があります
ROLE_SUPER_USER ：スケジューリング制限なし
ROLE_ADMIN ：追加の管理オプション

5. 校長

次に、これらの新しい特権を主要な実装に統合しましょう。

public class UserPrincipal implements UserDetails {
    ...

    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        List<GrantedAuthority> authorities = new ArrayList<GrantedAuthority>();
        for (Role role : user.getRoles()) {
            for (Privilege privilege : role.getPrivileges()) {
                authorities.add(new SimpleGrantedAuthority(privilege.getName()));
            }
        }
        return authorities;
    }
}

6. 標準ユーザーによるスケジュールされた投稿の制限

ここで、新しい役割と特権を利用して、Redditのスパムを回避するために、標準ユーザーが1日に3つ以上の新しい記事をスケジュールすることを制限します。

6.1. 投稿リポジトリ

まず、 PostRepository 実装に新しい操作を追加して、特定の期間に特定のユーザーがスケジュールした投稿をカウントします。

public interface PostRepository extends JpaRepository<Post, Long> {
    ...
    
    Long countByUserAndSubmissionDateBetween(User user, Date start, Date end);

}

5.2. スケジュールされたポストコントローラー

次に、 schedule（）メソッドと updatePost（）メソッドの両方に簡単なチェックを追加します。

public class ScheduledPostRestController {
    private static final int LIMIT_SCHEDULED_POSTS_PER_DAY = 3;

    public Post schedule(HttpServletRequest request,...) throws ParseException {
        ...
        if (!checkIfCanSchedule(submissionDate, request)) {
            throw new InvalidDateException("Scheduling Date exceeds daily limit");
        }
        ...
    }

    private boolean checkIfCanSchedule(Date date, HttpServletRequest request) {
        if (request.isUserInRole("POST_UNLIMITED_PRIVILEGE")) {
            return true;
        }
        Date start = DateUtils.truncate(date, Calendar.DATE);
        Date end = DateUtils.addDays(start, 1);
        long count = postReopsitory.
          countByUserAndSubmissionDateBetween(getCurrentUser(), start, end);
        return count < LIMIT_SCHEDULED_POSTS_PER_DAY;
    }
}

ここで起こっているいくつかの興味深いことがあります。まず、Springセキュリティを手動で操作し、現在ログインしているユーザーに特権があるかどうかを確認していることに注目してください。それはあなたが毎日行うことではありませんが、あなたがそれをしなければならないとき、APIは非常に便利です。

現在のロジックでは、ユーザーが POST_UNLIMITED_PRIVILEGE を使用している場合、選択した数だけスケジュールを設定できます。

ただし、その権限がない場合は、1日あたり最大3つの投稿をキューに入れることができます。

7. 管理者ユーザーページ

次に、ユーザーの役割に基づいてユーザーを明確に分離したので、小さなRedditアプリの管理者向けに非常に単純なユーザー管理を実装しましょう。

7.1. すべてのユーザーを表示

まず、システム内のすべてのユーザーを一覧表示する基本的なページを作成しましょう。

ここに、すべてのユーザーを一覧表示するためのAPIがあります。

@PreAuthorize("hasRole('ADMIN_READ_PRIVILEGE')")
@RequestMapping(value="/admin/users", method = RequestMethod.GET)
@ResponseBody
public List<User> getUsersList() {
    return service.getUsersList();
}

そして、サービス層の実装：

@Transactional
public List<User> getUsersList() {
    return userRepository.findAll();
}

次に、単純なフロントエンド：

<table>
    <thead>
        <tr>
            <th>Username</th>
            <th>Roles</th>
            <th>Actions</th></tr>
    </thead>
</table>

<script>
$(function(){
    var userRoles="";
    $.get("admin/users", function(data){
        $.each(data, function( index, user ) {
            userRoles = extractRolesName(user.roles);
            $('.table').append('<tr><td>'+user.username+'</td><td>'+
              userRoles+'</td><td><a href="#" onclick="showEditModal('+
              user.id+',\''+userRoles+'\')">Modify User Roles</a></td></tr>');
        });
    });
});

function extractRolesName(roles){ 
    var result =""; 
    $.each(roles, function( index, role ) { 
        result+= role.name+" "; 
    }); 
    return result; 
}
</script>

7.2. ユーザーの役割を変更する

次に、これらのユーザーの役割を管理するためのいくつかの単純なロジック。コントローラから始めましょう：

@PreAuthorize("hasRole('USER_WRITE_PRIVILEGE')")
@RequestMapping(value = "/user/{id}", method = RequestMethod.PUT)
@ResponseStatus(HttpStatus.OK)
public void modifyUserRoles(
  @PathVariable("id") Long id, 
  @RequestParam(value = "roleIds") String roleIds) {
    service.modifyUserRoles(id, roleIds);
}

@PreAuthorize("hasRole('USER_READ_PRIVILEGE')")
@RequestMapping(value = "/admin/roles", method = RequestMethod.GET)
@ResponseBody
public List<Role> getRolesList() {
    return service.getRolesList();
}

そしてサービスレイヤー：

@Transactional
public List<Role> getRolesList() {
    return roleRepository.findAll();
}
@Transactional
public void modifyUserRoles(Long userId, String ids) {
    List<Long> roleIds = new ArrayList<Long>();
    String[] arr = ids.split(",");
    for (String str : arr) {
        roleIds.add(Long.parseLong(str));
    }
    List<Role> roles = roleRepository.findAll(roleIds);
    User user = userRepository.findOne(userId);
    user.setRoles(roles);
    userRepository.save(user);
}

最後に–シンプルなフロントエンド：

<div id="myModal">
    <h4 class="modal-title">Modify User Roles</h4>
    <input type="hidden" name="id" id="userId"/>
    <div id="allRoles"></div>
    <button onclick="modifyUserRoles()">Save changes</button>
</div>

<script>
function showEditModal(userId, roleNames){
    $("#userId").val(userId);
    $.get("admin/roles", function(data){
        $.each(data, function( index, role ) {
            if(roleNames.indexOf(role.name) != -1){
                $('#allRoles').append(
                  '<input type="checkbox" name="roleIds" value="'+role.id+'" checked/> '+role.name+'<br/>')
            } else{
                $('#allRoles').append(
                  '<input type="checkbox" name="roleIds" value="'+role.id+'" /> '+role.name+'<br/>')
            }
       });
       $("#myModal").modal();
    });
}

function modifyUserRoles(){
    var roles = [];
    $.each($("input[name='roleIds']:checked"), function(){ 
        roles.push($(this).val());
    }); 
    if(roles.length == 0){
        alert("Error, at least select one role");
        return;
    }
 
    $.ajax({
        url: "user/"+$("#userId").val()+"?roleIds="+roles.join(","),
        type: 'PUT',
        contentType:'application/json'
        }).done(function() { window.location.href="users";
        }).fail(function(error) { alert(error.responseText); 
    }); 
}
</script>

8. セキュリティ構成

最後に、セキュリティ構成を変更して、管理者ユーザーをシステム内のこの新しい別のページにリダイレクトする必要があります。

@Autowired 
private AuthenticationSuccessHandler successHandler;

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.
    ...
    .authorizeRequests()
    .antMatchers("/adminHome","/users").hasAuthority("ADMIN_READ_PRIVILEGE")    
    ...
    .formLogin().successHandler(successHandler)
}

カスタム認証成功ハンドラーを使用して、ログイン後にユーザーが到達する場所を決定します：

@Component
public class MyAuthenticationSuccessHandler implements AuthenticationSuccessHandler {

    @Override
    public void onAuthenticationSuccess(
      HttpServletRequest request, HttpServletResponse response, Authentication auth) 
      throws IOException, ServletException {
        Set<String> privieleges = AuthorityUtils.authorityListToSet(auth.getAuthorities());
        if (privieleges.contains("ADMIN_READ_PRIVILEGE")) {
            response.sendRedirect("adminHome");
        } else {
            response.sendRedirect("home");
        }
    }
}

そして、非常にシンプルな管理者向けホームページ adminHome.html ：

<html>
<body>
    <h1>Welcome, <small><span sec:authentication="principal.username">Bob</span></small></h1>
    <br/>
    <a href="users">Display Users List</a>
</body>
</html>

9. 結論

ケーススタディのこの新しい部分では、いくつかの単純なセキュリティアーティファクト（役割と特権）をアプリに追加しました。そのサポートにより、2つのシンプルな機能を構築しました。標準ユーザー向けのスケジュール制限と管理ユーザー向けの最低限の管理者です。

getdocs

13036