1. 概要
今回の記事では、 Redditアプリに簡単な役割と特権を導入し、次のような興味深いことを実行できるようにします。通常のユーザーが1日にRedditにスケジュールできる投稿の数を制限します。
また、管理者の役割(および暗黙的に管理者ユーザー)を持つため、管理者管理領域も追加します。
2. ユーザー、役割および特権エンティティ
まず、 User エンティティ( Reddit Appシリーズで使用)を変更して、役割を追加します。
@Entity
public class User {
...
@ManyToMany(fetch = FetchType.EAGER)
@JoinTable(name = "users_roles",
joinColumns = @JoinColumn(name = "user_id", referencedColumnName = "id"),
inverseJoinColumns = @JoinColumn(name = "role_id", referencedColumnName = "id"))
private Collection<Role> roles;
...
}
ユーザーと役割の関係が多対多で柔軟であることに注意してください。
次に、RoleエンティティとPrivilegeエンティティを定義します。 その実装の詳細については、Baeldungに関するこの記事を確認してください。
3. 設定
次に、プロジェクトのブートストラップでいくつかの基本的なセットアップを実行して、これらの役割と特権を作成します。
private void createRoles() {
Privilege adminReadPrivilege = createPrivilegeIfNotFound("ADMIN_READ_PRIVILEGE");
Privilege adminWritePrivilege = createPrivilegeIfNotFound("ADMIN_WRITE_PRIVILEGE");
Privilege postLimitedPrivilege = createPrivilegeIfNotFound("POST_LIMITED_PRIVILEGE");
Privilege postUnlimitedPrivilege = createPrivilegeIfNotFound("POST_UNLIMITED_PRIVILEGE");
createRoleIfNotFound("ROLE_ADMIN", Arrays.asList(adminReadPrivilege, adminWritePrivilege));
createRoleIfNotFound("ROLE_SUPER_USER", Arrays.asList(postUnlimitedPrivilege));
createRoleIfNotFound("ROLE_USER", Arrays.asList(postLimitedPrivilege));
}
そして、テストユーザーを管理者にします。
private void createTestUser() {
Role adminRole = roleRepository.findByName("ROLE_ADMIN");
Role superUserRole = roleRepository.findByName("ROLE_SUPER_USER");
...
userJohn.setRoles(Arrays.asList(adminRole, superUserRole));
}
4. 標準ユーザーの登録
また、 registerNewUser()実装を介して標準ユーザーを登録していることを確認する必要があります。
@Override
public void registerNewUser(String username, String email, String password) {
...
Role role = roleRepository.findByName("ROLE_USER");
user.setRoles(Arrays.asList(role));
}
システム内の役割は次のとおりであることに注意してください。
- ROLE_USER :通常のユーザー(デフォルトの役割)の場合–これらには、1日にスケジュールできる投稿の数に制限があります
- ROLE_SUPER_USER :スケジューリング制限なし
- ROLE_ADMIN :追加の管理オプション
5. 校長
次に、これらの新しい特権を主要な実装に統合しましょう。
public class UserPrincipal implements UserDetails {
...
@Override
public Collection<? extends GrantedAuthority> getAuthorities() {
List<GrantedAuthority> authorities = new ArrayList<GrantedAuthority>();
for (Role role : user.getRoles()) {
for (Privilege privilege : role.getPrivileges()) {
authorities.add(new SimpleGrantedAuthority(privilege.getName()));
}
}
return authorities;
}
}
6. 標準ユーザーによるスケジュールされた投稿の制限
ここで、新しい役割と特権を利用して、Redditのスパムを回避するために、標準ユーザーが1日に3つ以上の新しい記事をスケジュールすることを制限します。
6.1. 投稿リポジトリ
まず、 PostRepository 実装に新しい操作を追加して、特定の期間に特定のユーザーがスケジュールした投稿をカウントします。
public interface PostRepository extends JpaRepository<Post, Long> {
...
Long countByUserAndSubmissionDateBetween(User user, Date start, Date end);
}
5.2. スケジュールされたポストコントローラー
次に、 schedule()メソッドと updatePost()メソッドの両方に簡単なチェックを追加します。
public class ScheduledPostRestController {
private static final int LIMIT_SCHEDULED_POSTS_PER_DAY = 3;
public Post schedule(HttpServletRequest request,...) throws ParseException {
...
if (!checkIfCanSchedule(submissionDate, request)) {
throw new InvalidDateException("Scheduling Date exceeds daily limit");
}
...
}
private boolean checkIfCanSchedule(Date date, HttpServletRequest request) {
if (request.isUserInRole("POST_UNLIMITED_PRIVILEGE")) {
return true;
}
Date start = DateUtils.truncate(date, Calendar.DATE);
Date end = DateUtils.addDays(start, 1);
long count = postReopsitory.
countByUserAndSubmissionDateBetween(getCurrentUser(), start, end);
return count < LIMIT_SCHEDULED_POSTS_PER_DAY;
}
}
ここで起こっているいくつかの興味深いことがあります。 まず、Springセキュリティを手動で操作し、現在ログインしているユーザーに特権があるかどうかを確認していることに注目してください。 それはあなたが毎日行うことではありませんが、あなたがそれをしなければならないとき、APIは非常に便利です。
現在のロジックでは、ユーザーが POST_UNLIMITED_PRIVILEGE を使用している場合、選択した数だけスケジュールを設定できます。
ただし、その権限がない場合は、1日あたり最大3つの投稿をキューに入れることができます。
7. 管理者ユーザーページ
次に、ユーザーの役割に基づいてユーザーを明確に分離したので、小さなRedditアプリの管理者向けに非常に単純なユーザー管理を実装しましょう。
7.1. すべてのユーザーを表示
まず、システム内のすべてのユーザーを一覧表示する基本的なページを作成しましょう。
ここに、すべてのユーザーを一覧表示するためのAPIがあります。
@PreAuthorize("hasRole('ADMIN_READ_PRIVILEGE')")
@RequestMapping(value="/admin/users", method = RequestMethod.GET)
@ResponseBody
public List<User> getUsersList() {
return service.getUsersList();
}
そして、サービス層の実装:
@Transactional
public List<User> getUsersList() {
return userRepository.findAll();
}
次に、単純なフロントエンド:
<table>
<thead>
<tr>
<th>Username</th>
<th>Roles</th>
<th>Actions</th></tr>
</thead>
</table>
<script>
$(function(){
var userRoles="";
$.get("admin/users", function(data){
$.each(data, function( index, user ) {
userRoles = extractRolesName(user.roles);
$('.table').append('<tr><td>'+user.username+'</td><td>'+
userRoles+'</td><td><a href="#" onclick="showEditModal('+
user.id+',\''+userRoles+'\')">Modify User Roles</a></td></tr>');
});
});
});
function extractRolesName(roles){
var result ="";
$.each(roles, function( index, role ) {
result+= role.name+" ";
});
return result;
}
</script>
7.2. ユーザーの役割を変更する
次に、これらのユーザーの役割を管理するためのいくつかの単純なロジック。 コントローラから始めましょう:
@PreAuthorize("hasRole('USER_WRITE_PRIVILEGE')")
@RequestMapping(value = "/user/{id}", method = RequestMethod.PUT)
@ResponseStatus(HttpStatus.OK)
public void modifyUserRoles(
@PathVariable("id") Long id,
@RequestParam(value = "roleIds") String roleIds) {
service.modifyUserRoles(id, roleIds);
}
@PreAuthorize("hasRole('USER_READ_PRIVILEGE')")
@RequestMapping(value = "/admin/roles", method = RequestMethod.GET)
@ResponseBody
public List<Role> getRolesList() {
return service.getRolesList();
}
そしてサービスレイヤー:
@Transactional
public List<Role> getRolesList() {
return roleRepository.findAll();
}
@Transactional
public void modifyUserRoles(Long userId, String ids) {
List<Long> roleIds = new ArrayList<Long>();
String[] arr = ids.split(",");
for (String str : arr) {
roleIds.add(Long.parseLong(str));
}
List<Role> roles = roleRepository.findAll(roleIds);
User user = userRepository.findOne(userId);
user.setRoles(roles);
userRepository.save(user);
}
最後に–シンプルなフロントエンド:
<div id="myModal">
<h4 class="modal-title">Modify User Roles</h4>
<input type="hidden" name="id" id="userId"/>
<div id="allRoles"></div>
<button onclick="modifyUserRoles()">Save changes</button>
</div>
<script>
function showEditModal(userId, roleNames){
$("#userId").val(userId);
$.get("admin/roles", function(data){
$.each(data, function( index, role ) {
if(roleNames.indexOf(role.name) != -1){
$('#allRoles').append(
'<input type="checkbox" name="roleIds" value="'+role.id+'" checked/> '+role.name+'<br/>')
} else{
$('#allRoles').append(
'<input type="checkbox" name="roleIds" value="'+role.id+'" /> '+role.name+'<br/>')
}
});
$("#myModal").modal();
});
}
function modifyUserRoles(){
var roles = [];
$.each($("input[name='roleIds']:checked"), function(){
roles.push($(this).val());
});
if(roles.length == 0){
alert("Error, at least select one role");
return;
}
$.ajax({
url: "user/"+$("#userId").val()+"?roleIds="+roles.join(","),
type: 'PUT',
contentType:'application/json'
}).done(function() { window.location.href="users";
}).fail(function(error) { alert(error.responseText);
});
}
</script>
8. セキュリティ構成
最後に、セキュリティ構成を変更して、管理者ユーザーをシステム内のこの新しい別のページにリダイレクトする必要があります。
@Autowired
private AuthenticationSuccessHandler successHandler;
@Override
protected void configure(HttpSecurity http) throws Exception {
http.
...
.authorizeRequests()
.antMatchers("/adminHome","/users").hasAuthority("ADMIN_READ_PRIVILEGE")
...
.formLogin().successHandler(successHandler)
}
カスタム認証成功ハンドラーを使用して、ログイン後にユーザーが到達する場所を決定します:
@Component
public class MyAuthenticationSuccessHandler implements AuthenticationSuccessHandler {
@Override
public void onAuthenticationSuccess(
HttpServletRequest request, HttpServletResponse response, Authentication auth)
throws IOException, ServletException {
Set<String> privieleges = AuthorityUtils.authorityListToSet(auth.getAuthorities());
if (privieleges.contains("ADMIN_READ_PRIVILEGE")) {
response.sendRedirect("adminHome");
} else {
response.sendRedirect("home");
}
}
}
そして、非常にシンプルな管理者向けホームページ adminHome.html :
<html>
<body>
<h1>Welcome, <small><span sec:authentication="principal.username">Bob</span></small></h1>
<br/>
<a href="users">Display Users List</a>
</body>
</html>
9. 結論
ケーススタディのこの新しい部分では、いくつかの単純なセキュリティアーティファクト(役割と特権)をアプリに追加しました。 そのサポートにより、2つのシンプルな機能を構築しました。標準ユーザー向けのスケジュール制限と管理ユーザー向けの最低限の管理者です。