Beispiel: JBoss-spezifische Security

CREATE TABLE KUNDE 
(ID int not null, 
NAME varchar(100), 
LOGIN varchar(100), 
PASSWORT varchar(100) );

CREATE TABLE ADMINISTRATOR 
(ID int not null, 
NAME varchar(100), 
LOGIN varchar(100), 
PASSWORT varchar(100) );

insert into ADMINISTRATOR (ID, LOGIN, NAME, PASSWORT) values  (1, 'ADMIN', 'Admin', 'ADMIN');
insert into KUNDE (ID, LOGIN, NAME, PASSWORT) values  (1, 'DOOFI', 'DOOFI', 'DOOFI'); 

• Administrator ist ein simples Value Object für einen Administrator.
• Kunde ist ein simples Value Object für einen Kunden (hat aber nichts mit der später anzulegenden EJB zu tun).
• KundeAdministratorLoginModule ist die Implementation unseres Login-Moduls. Sie ist abgeleitet von org.jboss.security.auth.spi.UsernamePasswordLoginModule. Sie muss drei Methoden implementieren:
  • initialize(Subject subject, CallbackHandler callbackHandler, Map sharedState, Map options): Initialisierung des Moduls. Hier wird eine DataSource (deren JNDI-Name konfigurierbar ist) aus dem JNDI gezogen. Das Datenbankschema wird ebenfalls aus der Config geholt.
  • getUsersPassword(): Ermitteln des Passworts für einen bestimmten User. Dieser wurde bereits (über die Basisklasse) gesetzt und ist über die Methode super.getUsername() abrufbar. Hier wird geprüft ob wir einen Kunden oder einen Administrator vor uns haben, dessen Passwort wird zurückgegeben, bzw. eine javax.security.auth.login.LoginException geworfen.
  • getRoleSets() liefert alle Rollen des aktuellen Users (über super.getUsername() ermittelbar) zurück, hier entweder "kunde" oder "administrator".

<?xml version="1.0" encoding="UTF-8"?>
<server>   
   <mbean code="org.jboss.security.auth.login.DynamicLoginConfig"
     name="jboss:service=DynamicLoginConfig">
     <attribute name="AuthConfig">META-INF/login-config.xml</attribute>
     <depends optional-attribute-name="LoginConfigService">
       jboss.security:service=XMLLoginConfig
     </depends>
     <depends optional-attribute-name="SecurityManagerService">
       jboss.security:service=JaasSecurityManager
     </depends>
   </mbean>
</server> 

@Entity ()
@Table(name="KUNDE")
public class KundeBean implements Serializable
{
  private static final long serialVersionUID = 1L;

  private Integer intId;
  private String strName;
  private String strLogin;
  private String strPasswort;
  
  @Id
  @Column(name="ID")
  @GeneratedValue
  public Integer getId()
  {
    return this.intId;
  }
  
  public void setId (Integer int_Id)
  {
    this.intId = int_Id;
  }
  
  @Column(name="NAME")
  public String getName()
  {
    return this.strName;
  }

  public void setName (String str_Name)
  {
    this.strName = str_Name;
  }

  Column(name="LOGIN")
  public String getLogin()
  {
    return this.strLogin;
  }

  public void setLogin (String str_Login)
  {
    this.strLogin = str_Login;
  }

  @Column(name="PASSWORT")
  public String getPasswort()
  {
    return this.strPasswort;
  }

  public void setPasswort(String str_Passwort)
  {
    this.strPasswort = str_Passwort;
  }
} 

@Stateless
@DeclareRoles(value={"administrator", "kunde"})
@SecurityDomain(value="knaufsecurity")
public class SecuredBean implements Secured
{
  @PersistenceContext(unitName="securityPersistenceUnit")
  private EntityManager entityManager = null;

  @RolesAllowed(value={"administrator"} )
  public void forAdminOnly()
  {
  }

  @RolesAllowed(value={"kunde"} )
  public void forKundeOnly()
  {
    logger.info("forKundeOnly");
  }

  @RolesAllowed(value={"administrator", "kunde"} )
  public void forBoth()
  {
    //Jetzt einen Datenbankzugriff versuchen:
    Query query =this.entityManager.createQuery("select o from KundeBean o");
    List<KundeBean> listKunden = query.getResultList();
    Iterator<KundeBean> iteratorKunden = listKunden.iterator();
    while (iteratorKunden.hasNext() == true)
    {
      KundeBean kundeAktuell = iteratorKunden.next();
      logger.info("Kunde-Login: '" + kundeAktuell.getLogin() + "'");
    }
  }
}

<?xml version="1.0" encoding="UTF-8"?>
<persistence xmlns="http://java.sun.com/xml/ns/persistence"
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://java.sun.com/xml/ns/persistence http://java.sun.com/xml/ns/persistence/persistence_1_0.xsd"
	version="1.0">
	<persistence-unit name="securityPersistenceUnit">
		<jta-data-source>java:/DefaultDS</jta-data-source>
		<properties>
			<!-- Setzen dieser Property aktiviert das automatische Tabellen-Generieren und Löschen beim Deploy! 
				Hier darf das natürlich nicht passieren da unser Login-Modul die Tabellen benötigt !-->
			<!-- <property name="hibernate.hbm2ddl.auto" value="create-drop" /> -->
			<!-- SQL-Logging einschalten: -->
			<property name="hibernate.show_sql" value="true"></property>
		</properties>
	</persistence-unit>
</persistence>

<?xml version="1.0" encoding="UTF-8"?>
<web-app id="WebApp_ID" xmlns="http://java.sun.com/xml/ns/javaee"
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd"
	version="2.5">
	<display-name>SecurityWeb</display-name>
	<welcome-file-list>
		<welcome-file>index.html</welcome-file>
		<welcome-file>index.htm</welcome-file>
		<welcome-file>index.jsp</welcome-file>
		<welcome-file>default.html</welcome-file>
		<welcome-file>default.htm</welcome-file>
		<welcome-file>default.jsp</welcome-file>
	</welcome-file-list>

	<security-constraint>
		<display-name>Security Constraint für SecurityWeb</display-name>
		<web-resource-collection>
			<web-resource-name>Alles</web-resource-name>
			<url-pattern>/*</url-pattern>
			<http-method>GET</http-method>
			<http-method>POST</http-method>
		</web-resource-collection>
		<auth-constraint>
			<description>Administrator und Kunde dürfen auf diese Seite zugreifen</description>
			<role-name>administrator</role-name>
			<role-name>kunde</role-name>
		</auth-constraint>
	</security-constraint>
	<login-config>
		<auth-method>FORM</auth-method>
		<form-login-config>
			<form-login-page>/login.jsp</form-login-page>
			<form-error-page>/error.jsp</form-error-page>
		</form-login-config>
	</login-config>
	<security-role>
		<description>Administrator im Web</description>
		<role-name>administrator</role-name>
	</security-role>
	<security-role>
		<description>Kunde im Web</description>
		<role-name>kunde</role-name>
	</security-role>

	<ejb-ref>
		<ejb-ref-name>ejb/Secured</ejb-ref-name>
		<ejb-ref-type>Session</ejb-ref-type>
		<home>java.lang.Object</home>
		<remote>de.fhw.swtvertiefung.knauf.security.Secured</remote>
	</ejb-ref>
</web-app> 

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE jboss-web PUBLIC "-//JBoss//DTD Web Application 2.4//EN" "http://www.jboss.org/j2ee/dtd/jboss-web_4_0.dtd">

<jboss-web>
	<security-domain>java:/jaas/knaufsecurity</security-domain>
	<context-root>SecurityWeb</context-root>

	<!-- EJB References -->
	<ejb-ref>
		<ejb-ref-name>ejb/Secured</ejb-ref-name>
		<jndi-name>Security/SecuredBean/remote</jndi-name>
	</ejb-ref>
</jboss-web>

   <form method="post" ACTION="j_security_check">
      Login: <input type="text" name="j_username" /> <br>
      Passwort: <input type="password" name="j_password" /> <br>
      <input type="submit" name="login" value="Login">
   </form> 

   <FORM METHOD=POST ACTION="logout.jsp" NAME="logout">
      <input type="submit" name="logout" value="Logout">
   </FORM> 

  <%
    //Session beenden:
    session.invalidate(); 
  %>
  <P>Sie wurden abgemeldet ! </P>
  <a href="index.jsp">Zurück zur Startseite</a> 

<?xml version="1.0" encoding="UTF-8"?>
<application-client id="Application-client_ID" version="5" xmlns="http://java.sun.com/xml/ns/javaee"
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/application-client_5.xsd">

	<display-name>SecurityClient</display-name>

	<ejb-ref>
		<ejb-ref-name>ejb/Secured</ejb-ref-name>
		<ejb-ref-type>Session</ejb-ref-type>
		<home>java.lang.Object</home>
		<remote>de.fhw.swtvertiefung.knauf.security.Secured</remote>
	</ejb-ref>

</application-client> 

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE jboss-client PUBLIC "-//JBoss//DTD Application Client 4.0//EN" "http://www.jboss.org/j2ee/dtd/jboss-client_4_0.dtd" >
<jboss-client>
	  <jndi-name>SecurityClient</jndi-name>
	  <ejb-ref>
		<ejb-ref-name>ejb/Secured</ejb-ref-name>
		<jndi-name>Security/SecuredBean/remote</jndi-name>
	</ejb-ref>
</jboss-client>

knaufclientsecurity {
   // jBoss LoginModule
   org.jboss.security.ClientLoginModule  required
   ;
}; 

public class SecurityClientCallbackHandler implements CallbackHandler
{
  public void handle(Callback[] callbacks) throws IOException, UnsupportedCallbackException
  {
    //Über alle übergebenen Callbacks iterieren:
    for (int intIndexCallback = 0; intIndexCallback < callbacks.length; intIndexCallback++)
    {
      //NameCallback: Login übergeben.
      if (callbacks[intIndexCallback] instanceof NameCallback)
      {
        NameCallback nameCallback = (NameCallback) callbacks[intIndexCallback];
        nameCallback.setName( "ADMIN" );
      }
      //PasswordCallback: Login übergeben.
      else if (callbacks[intIndexCallback] instanceof PasswordCallback)
      {
        PasswordCallback passwordCallback = (PasswordCallback) callbacks[intIndexCallback];
        passwordCallback.setPassword ("ADMIN".toCharArray() );
      }
      else
      {
        throw new UnsupportedCallbackException (callbacks[intIndexCallback], "Nicht unterstützer Callback !");
      }
    }
  }
}

      Properties props = new Properties();
      props.setProperty(Context.INITIAL_CONTEXT_FACTORY, "org.jnp.interfaces.NamingContextFactory");
      props.setProperty(Context.URL_PKG_PREFIXES, "org.jboss.naming.client");
      props.setProperty(Context.PROVIDER_URL, "jnp://localhost:1099");
      props.setProperty("j2ee.clientName", "SecurityClient");
      
      InitialContext initialContext = new InitialContext(props);
      
      //Login initialisieren:
      SecurityClientCallbackHandler callbackHandler = new SecurityClientCallbackHandler();
      LoginContext loginContext = new LoginContext ("knaufclientsecurity", callbackHandler);
      loginContext.login(); 

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE jboss-app
    PUBLIC "-//JBoss//DTD J2EE Application 1.4//EN"
    "http://www.jboss.org/j2ee/dtd/jboss-app_4_0.dtd">

<jboss-app>
    <security-domain>java:/jaas/knaufsecurity</security-domain>

</jboss-app> 

<?xml version="1.0" encoding="UTF-8"?>
<ejb-jar id="ejb-jar_ID" version="3.0" xmlns="http://java.sun.com/xml/ns/javaee"
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://java.sun.com/xml/ns/javaee
                           http://java.sun.com/xml/ns/javaee/ejb-jar_3_0.xsd">
	<display-name>SecurityEJB</display-name>
	<enterprise-beans>
		<session>
			<description>
				<![CDATA[Die Methoden dieser Session-Bean sind für unterschiedliche Rollen zugelassen.]]>
			</description>
			<display-name>SecuredBean</display-name>

			<ejb-name>SecuredBean</ejb-name>

			<remote>de.fhw.swtvertiefung.knauf.security.Secured</remote>
			<ejb-class>de.fhw.swtvertiefung.knauf.security.SecuredBean</ejb-class>
			<session-type>Stateless</session-type>
			<transaction-type>Container</transaction-type>

			<!--EntityManager-Injection -->
			<persistence-context-ref>
				<persistence-context-ref-name>
					SecurityPersistenceUnitRef
				</persistence-context-ref-name>
				<persistence-unit-name>securityPersistenceUnit</persistence-unit-name>
				<injection-target>
					<injection-target-class>
						de.fhw.swtvertiefung.knauf.security.SecuredBean
					</injection-target-class>
					<injection-target-name>entityManager</injection-target-name>
				</injection-target>
			</persistence-context-ref>

		</session>
		<!-- Entity Beans -->
		<entity>
			<description>
				<![CDATA[Entity-Bean für einen Kunden.  Greift intern auf die gleiche Tabelle zu wie das Security-Login-Modul. Tabellen- und Spaltennamen habe ich hier explizit deklariert da das Login-Modul mit den gleichen Namen arbeitet.]]>
			</description>
			<display-name>KundeBean</display-name>

			<ejb-name>KundeBean</ejb-name>

			<ejb-class>de.fhw.swtvertiefung.knauf.security.KundeBean</ejb-class>
			<persistence-type>Container</persistence-type>
			<prim-key-class>java.lang.Integer</prim-key-class>
			<reentrant>false</reentrant>
		</entity>

	</enterprise-beans>

	<assembly-descriptor>
		<security-role>
			<description>
				<![CDATA[description not supported yet by ejbdoclet]]>
			</description>
			<role-name>kunde</role-name>
		</security-role>
		<security-role>
			<description>
				<![CDATA[description not supported yet by ejbdoclet]]>
			</description>
			<role-name>administrator</role-name>
		</security-role>


		<method-permission>
			<role-name>administrator</role-name>
			<method>
				<description>
					<![CDATA[Diese Methode darf nur vom Admin aufgerufen werden !]]>
				</description>
				<ejb-name>SecuredBean</ejb-name>
				<method-intf>Remote</method-intf>
				<method-name>forAdminOnly</method-name>
				<method-params></method-params>
			</method>
		</method-permission>
		<method-permission>
			<role-name>kunde</role-name>
			<method>
				<description>
					<![CDATA[Diese Methode darf nur vom Kunden aufgerufen werden !]]>
				</description>
				<ejb-name>SecuredBean</ejb-name>
				<method-intf>Remote</method-intf>
				<method-name>forKundeOnly</method-name>
				<method-params></method-params>
			</method>
		</method-permission>
		<method-permission>
			<role-name>administrator</role-name>
			<role-name>kunde</role-name>
			<method>
				<description>
					<![CDATA[Diese Methode darf von Admin und Kunde aufgerufen werden !]]>
				</description>
				<ejb-name>SecuredBean</ejb-name>
				<method-intf>Remote</method-intf>
				<method-name>forBoth</method-name>
				<method-params></method-params>
			</method>
		</method-permission>
	</assembly-descriptor>
</ejb-jar> 

• Deklaration der im Deployment Deskriptor verwendeten Rollen durch ein Element "security-role" (entspricht der Annotation @DeclaredRoles in der Bean).
• Festlegen der Methodenberechtigungen durch Elemente "method-permission" (entspricht der Annotation @RolesAllowed in der Bean). Hier muss man extrem vorsichtig sein da bei einem Tippfehler z.B. im Bean-Namen keine Fehlermeldungen kommen.

<?xml version="1.0" encoding="UTF-8"?>
<entity-mappings xmlns="http://java.sun.com/xml/ns/persistence/orm"
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://java.sun.com/xml/ns/persistence/orm http://java.sun.com/xml/ns/persistence/orm_1_0.xsd"
	version="1.0">

	<entity class="de.fhw.swtvertiefung.knauf.security.KundeBean" access="PROPERTY"
	 metadata-complete="true">
		<table name="KUNDE"></table>
		<attributes>
			<id name="id">
				<column name="ID" /> 
				<generated-value/>
			</id>
			<basic name="name">
				<column name="NAME" />
			</basic>
			<basic name="login">
				<column name="LOGIN" />
			</basic>
			<basic name="password">
				<column name="PASSWORD" />
			</basic>
		</attributes>
	</entity>

</entity-mappings>

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE jboss PUBLIC "-//JBoss//DTD JBOSS 4.0//EN" "http://www.jboss.org/j2ee/dtd/jboss_4_0.dtd">

<jboss>
	<security-domain>knaufsecurity</security-domain>
</jboss>