防止未登录用户操作—基于struts2拦截器的简单实现

防止未登录用户操作是常见的Web应用程序的安全性需求之一。基于struts2拦截器可以方便地实现这一功能。接下来，我将详细讲解如何基于struts2拦截器实现防止未登录用户操作的功能。

步骤一：创建Session监听器

在Java Web应用程序中，每个会话都关联一个HTTP会话（Session）。Session监听器可以在会话开始和结束时执行操作，我们可以使用它来记录用户会话。

public class SessionListener implements HttpSessionListener {

    private static final String USER_KEY = "user";

    @Override
    public void sessionCreated(HttpSessionEvent se) {
    }

    @Override
    public void sessionDestroyed(HttpSessionEvent se) {
        HttpSession session = se.getSession();
        String username = (String) session.getAttribute(USER_KEY);
        if (username != null) {
            // TODO: 在此处记录用户退出会话事件。
        }
    }
}

在上面的代码中，我们定义了一个Session监听器，并实现了HttpSessionListener接口。当会话创建时，我们不需要执行任何操作，因此我们只需实现sessionDestroyed方法，在会话结束时记录用户退出事件。

这里，我们使用静态字符串USER_KEY作为存储用户信息的键。在用户登录成功后，我们将其用户名存储在Session中，当用户退出时，我们检索并使用该信息记录退出事件。

步骤二：SessionUtils

为了在不同的servlet中方便地使用Session信息，我们可以定义一个SessionUtils类。这个类包含了一些静态方法，用于方便地获取和设置Session属性。

public class SessionUtils {

    private static final String USER_KEY = "user";

    public static void setUser(HttpSession session, String username) {
        session.setAttribute(USER_KEY, username);
    }

    public static String getUser(HttpSession session) {
        return (String) session.getAttribute(USER_KEY);
    }

    public static boolean isLoggedIn(HttpSession session) {
        return getUser(session) != null;
    }
}

在上面的代码中，我们定义了一个SessionUtils类，包含静态方法setUser、getUser和isLoggedIn。setUser将当前会话的用户名设置为Session属性，getUser从当前会话中检索用户名，isLoggedIn检测当前会话是否为已登录状态。

步骤三：登录拦截器

登录拦截器拦截未登录用户的请求，并将其重定向到登录页。我们可以实现一个继承InterceptorSupport的抽象类，该类可以被其他拦截器继承。

public abstract class LoginInterceptorSupport extends InterceptorSupport {

    private static final String LOGIN_ACTION = "login";
    private static final String HOME_ACTION = "home";

    protected boolean isLoggedIn(HttpServletRequest request) {
        HttpSession session = request.getSession();
        return SessionUtils.isLoggedIn(session);
    }

    protected void redirectToLogin(HttpServletRequest request,
                                   HttpServletResponse response) throws IOException {
        String contextPath = request.getContextPath();
        response.sendRedirect(contextPath + "/" + LOGIN_ACTION);
    }

    protected void redirectToHome(HttpServletRequest request,
                                  HttpServletResponse response) throws IOException {
        String contextPath = request.getContextPath();
        response.sendRedirect(contextPath + "/" + HOME_ACTION);
    }
}

在上面的代码中，我们定义了一个LoginInterceptorSupport抽象类，并继承了InterceptorSupport。LOGIN_ACTION和HOME_ACTION是登录和主页的Action的名称。

我们还定义了isLoggedIn方法，该方法检查当前请求的会话是否为已登录状态。如果不是已登录状态，则执行redirectToLogin方法，将用户重定向到登录页。

步骤四：示例1

现在，我们来看一个例子，如何在应用程序中使用这个拦截器。首先，我们将创建一个基于LoginInterceptorSupport的拦截器，该拦截器将拦截所有未登录用户的请求。

public class AuthInterceptor extends LoginInterceptorSupport {

    @Override
    public String intercept(ActionInvocation invocation) throws Exception {
        HttpServletRequest request = ServletActionContext.getRequest();
        if (!isLoggedIn(request)) {
            redirectToLogin(request, ServletActionContext.getResponse());
            return null;
        } else {
            return invocation.invoke();
        }
    }
}

在上面的代码中，我们定义了一个AuthInterceptor类，并继承了LoginInterceptorSupport。在intercept方法中，我们检查当前请求的会话是否为已登录状态。如果不是，我们将重定向用户到登录页。如果是已登录状态，则执行原始请求。

步骤五：示例2

现在，我们来看一个如何使用这个拦截器的例子。假设我们有一个基于struts2的Web应用程序，提供了以下两个Action：

public class ListContentAction extends ActionSupport {

    public String execute() throws Exception {
        return SUCCESS;
    }
}

public class EditContentAction extends ActionSupport {

    public String execute() throws Exception {
        return SUCCESS;
    }
}

我们希望保护EditContentAction，使只有已登录用户可以访问。我们可以在struts.xml中配置AuthInterceptor拦截器，并将其应用于EditContentAction。

<interceptor-stack name="authStack">
    <interceptor-ref name="authInterceptor"/>
    <interceptor-ref name="defaultStack"/>
</interceptor-stack>

<action name="list" class="example.ListContentAction" >
    <result>list.jsp</result>
</action>

<action name="edit" class="example.EditContentAction">
    <interceptor-ref name="authStack"/>
    <result>edit.jsp</result>
</action>

在上面的代码中，我们定义了一个叫做authStack的拦截器栈，该栈由AuthInterceptor和默认栈一起组成。我们将authStack应用于EditContentAction，这意味着该Action将首先使用AuthInterceptor拦截器，以检查当前请求是否为已登录状态。

总结

到此为止，我们已经成功地实现了一个基于struts2拦截器的简单防止未登录用户访问的功能。我们首先创建了一个Session监听器，用于记录用户退出会话事件。然后，我们创建了一个SessionUtils类，包含方便地获取和设置会话属性的方法。接下来，我们创建了一个登录拦截器，以拦截未登录用户的请求，并重定向到登录页。最后，我们通过两个示例，演示了如何在struts2应用程序中应用这个拦截器。