Como adicionar segurança em páginas JSP

This message was edited 2 times. Last update was at 08/09/2008 06:11:19

Não adianta colocar um login no sistema, se a próxima página pode ser muito
bem visualizada digitando seu endereço no navegador.

E isso que estou tentando aprender.

Como proteger as páginas?

Obrigado.

Debugger Membro desde: 17/03/2007 19:09:09 Mensagens: 58 Offline

Sessão, Cookies etc.
Tem vários topicos sobre sessao e cookies aqui, de uma pesquisada

JWizard Membro desde: 23/02/2007 15:52:55 Mensagens: 2034 Offline

Se quiser algo mais robusto - e difícil de configurar

- Acegi

No web.xml tem como vc inserir definições de segurança.
<security-constraint> se não me engano, pesquise sobre essa tag e outras relacionadas.

This message was edited 1 time. Last update was at 08/09/2008 10:04:45

O que estou querendo é tipo o include do php. É tão simples. Se o usuário já fez login, então
a página que possui o include será aberta, pois a sessão já se iniciou.

Na verdade, um include iria redirecionar a página do mesmo modo que um <jsp:forward> daí o que
eu estava querendo era um controle de sessão mesmo.

This message was edited 1 time. Last update was at 08/09/2008 11:15:47

Não consegui encontrar em lugar nenhum.

Vai a sequência de páginas para a parte de login do sistema:

login
verificar login
administracao

a página login é para se logar no sistema, onde a página verificar login verificará se foi digitado corretamente. Se não foi, então redireciona para a página de login novamente. Se foi, então acessa a página administracao.

Certo. Até aí eu consegui!

Mas o problema é que se eu digitar diretamente no browser:

vai aparecer a página de administracao desprotegida, sendo que eu nem fiz login nem nada.

É isso que estou tentando explicar. Preciso controlar a sessão. Acessar a página protegida apenas se o usuário digitar o login corretamente.

Como faço isso? Cookies ou sessão? ou o quê?

Obrigado.

Java Ninja Membro desde: 13/12/2007 10:09:22 Mensagens: 269 Offline

use um filtro

por ex:

package controller.filters;

import java.io.*;
import javax.servlet.http.*;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.RequestDispatcher;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import model.beans.UsuarioVO;

/**
 *
 * @author joaosavio
 */
public class MainFilter implements Filter {

public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        HttpSession session = ((HttpServletRequest)request).getSession();
        UsuarioVO usuarioVO = new UsuarioVO();
        usuarioVO = (UsuarioVO)session.getAttribute("usuarioVO");
        
        if(usuarioVO == null) {  
            RequestDispatcher rd = request.getRequestDispatcher("/faces/view/index.jsp");    
            rd.forward(request, response);       
        }
        else if (usuarioVO.getStatus() == 1) { 
            chain.doFilter(request, response);  //OK           
        }
        else {
            RequestDispatcher rd = request.getRequestDispatcher("/faces/view/index.jsp");    
            rd.forward(request, response);                        
        }
    }

public void init(FilterConfig arg0) throws ServletException {
        
    }

public void destroy() {
        
    }

}

quer a coisa mais simples? faz um if, se a sessao com o nome q vc quiser existir, se o usuario nela existir, mostra a pagina, senao redireciona pra outra.

if{
<html>
}else{
redireciona
}

JavaEvangelist Membro desde: 30/04/2008 18:02:02 Mensagens: 315 Offline

joaosavio wrote:use um filtro

Desculpe mas não sei utilizar filtros.

Quando fui utilizar seu código, o último import não foi encontrado.

Daí eu não poderia utilizar no momento, se não sei lhe dar com isso.
Mas obrigado pela dica.

E jpcasati, pode me ajudar com um exemplo de um if?

Por exemplo: eu poderia testar este if na página que verificaria o login, não é?
Mas aí eu teria que utilizar cookies? Um exemplo do que você disse seria bom, pois entendi
o que quis dizer mas não sei o que devo fazer. É meu primeiro sistema web e quero que ele tenha segurança também.

Obrigado.

JavaEvangelist Membro desde: 30/04/2008 18:02:02 Mensagens: 315 Offline

jpcasati wrote:quer a coisa mais simples? faz um if, se a sessao com o nome q vc quiser existir, se o usuario nela existir, mostra a pagina, senao redireciona pra outra.

if{
<html>
}else{
redireciona
}

Fiz um if mas esta me atrapalhando encerrar a sessão, por isso retirei.
Veja:

Mas a página continua desprotegida.

JavaBaby Membro desde: 23/07/2008 08:03:39 Mensagens: 78 Offline

vc usar javabeans em cada pagina fazendo uma consulta ao banco a cada pagina a ser aberta
por exemplo

bom espero ter ajudado...

JavaEvangelist Membro desde: 30/04/2008 18:02:02 Mensagens: 315 Offline

Vou verificar depois.

Mas me diga uma coisa: eu uso o NetBeans e o que preciso fazer para utilizar este código que você postou?

obrigado.

[]s.

This message was edited 1 time. Last update was at 10/09/2008 11:50:10

Deu certo!

Eu criei um teste de sessão:

Daí agora toda vez que minha sessão retorna nula (se eu for direto
para a página protegida), vai redirecionar para o login.

Obrigado.

JavaChild Membro desde: 08/03/2009 12:58:54 Mensagens: 105 Offline

Aí galera, estou precisando de fazer um sistema de login no qual um administrador tenha acesso para cadastrar os ususarios, sendo que todos fazem login
na mesma pag, ´ou seja, qd o administrador loga ele tem acesso a uma pag e os usuarios a outra, alguem sabe como fazer isto???

Obrigado,
Abç

JavaEvangelist Membro desde: 30/04/2008 18:02:02 Mensagens: 315 Offline

Bom, existe várias maneiras de se fazer isso.

A primeira é a popular, onde possui um painel pra logar somente admins e outro painel (form) pra logar apenas usuários.

Cada um vai criar sessões diferentes e isso resolve!

A segunda: utiliza realm ! Com o realm você não precisa ficar criando estes testes em cada página, basta deixar um diretório, por exemplo, admin com as páginas do admin e outro como users para os usuários e setar permiss~eos no context.xml. Não é bem melhor?

Bom, mas esta é mais complicada, no momento não posso ajudar, pois estou muito enrolado com trabalhos de última hora e meu sócio tá exigindo que eu não faça outra coisa.

Qual prefere?

[]s

Notícias, artigos e o maior fórum brasileiro sobre Java