控制客户端访问是开发一个基于b/s的架构的系统的开发者必须考虑的问题。jsp或servlet规范的基于配置文件的安全策略对资源的控制是以文件为单位的，即只可以定义某个视图全部可以或全部不能被访问。一个比较复杂的系统往往要要求对视图的一部分（如jsp页面里的一个按钮）提供访问控制，只允许被某种角色的用户访问。如果采用可编程的安全策略，因为对用户角色和操作的定义在开发时不能定义，而且这种策略加大了程序员的工作量，它可能不是一种好的办法。
我采用定制标签库和和配置文件来解决这个问题：把要权限控制的jsp页面元素如button，作为标签的内容。为受保护的内容起一个唯一的名称，把这个名称作为标签的一个属性。某个角色对某个页面元素或一组页面元素是否有权限，在xml配置文件中描述。
例如，下面的jsp页面有“详细”和“修改”两个按钮。
<%@ taglib uri="http://mytag" prefix="custtag" %>
<html>
<head>
<title>test</title>
</head>
<body >
<form name="form1" >
<table width="600" border="0" cellspacing="0" cellpadding="2" >
<tr>
<td>
<custtag:jspsecurity elementname="employeedetail" >
<input type="button" name="detail" value="详细" >
</custtag:jspsecurity>
<custtag:jspsecurity elementname="employeemodify" >
<input type="button" name="modify" value="修改" >
</custtag:jspsecurity>
</td>
</tr>
</table>
<br>
</form>
</body>
下面xml配置文件内容表示对角色为common的用户，只对名为employeedetail 的页面元素即“详细”按钮有权限，对角色为“admin”的用户，对名为employeedetail 和employeemodify的页面元素即两个按钮都有权限。
<?xml version="1.0" encoding="gb2312"?>
<security>
<htmlelement name="employeedetail" >
<rolename name="common" />
<rolename name="admin" />
</htmlelement>
<htmlelement name="employeemodify" >
<rolename name="admin" />
</htmlelement>
</security>
定制标签类jspsecuritytag继承了bodytagsupport类。bodytagsupport有一个变量bodycontent指向起始标志和结束标志之间的内容。jspsecuritytag的私有静态变量rolelist保存从xml文件中取到角色和页面元素的对应集合，私有变量elementname对应页面元素的名称。当解析该定制标签时，首先先取到页面元素的名称，再取到当前用户的角色，如果角色有该页面元素的权限，就显示标签正文（即页面元素），否则不显示。
pagekage com.presentation.viewhelper.jspsecuritytag;
import javax.servlet.jsp.tagext.*;
import javax.servlet.jsp.*;
import java.util.*;
import org.xml.sax.*;
import org.xml.sax.helpers.*;
import org.w3c.dom.*;
import java.io.*;
import javax.xml.parsers.*;
public class jspsecuritytag extends bodytagsupport {
//保存从xml文件中取到角色和页面元素的对应集合
private static arraylist rolelist;
//页面元素的名称
private string elementname;
public void setelementname(string str)
{
this.elementname=str;
}
public int doafterbody() throws jspexception{
if(rolelist==null)
{
rolelist=getlist();
}
try{
//如果认证通过就显示标签正文，否则跳过标签正文，就这么简单
if(isauthentificated(elementname))
{
if(bodycontent != null){
jspwriter out=bodycontent.getenclosingwriter();
bodycontent.writeout(out);
}else
{
}
}
}catch(exception e){
throw new jspexception();
}
return skip_body;
}
//从xml配置文件中取到角色和页面元素的对应，保存到静态的arraylist
private arraylist getlist()
{
documentbuilderfactory dbf =
documentbuilderfactory.newinstance();
documentbuilder db = null;
document doc=null;
nodelist childlist = null;
string elementname;
string rolename;
int index;
arraylist thelist = new arraylist();
try{
db = dbf.newdocumentbuilder();
}catch(exception e)
{
e.printstacktrace();
}
try{
doc = db.parse(new file("security.xml"));
}catch(exception e)
{
e.printstacktrace();
}
//读取页面元素列表
nodelist elementlist = doc.getelementsbytagname("htmlelement");
for(int i=0;i<elementlist.getlength();i++)
{
element name = ((element)elementlist.item(i));
//页面元素的名称
elementname = name.getattribute("name");
//该页面元素对应的有权限的角色的列表
nodelist rolnodelist = ((nodelist)name.getelementsbytagname("rolename"));
for(int j=0;j<rolnodelist.getlength();j++)
{
//有权限的角色的名称
//rolename = ((element)rolnodelist.item(j)).getnodevalue();
rolename = ((element)rolnodelist.item(j)).getattribute("name");
thelist.add(new elementandrole(elementname,rolename));
}
}
return thelist;
}
//检查该角色是否有该页面元素的权限
private boolean isauthentificated(string elementname)
{
string rolename = "";
//在用户登陆时把该用户的角色保存到session中，这里只是直接从session中取用//户角色。
rolename=this.pagecontext.getsession().getattribute("rolename”);
// rolelist包含elementname属性为elementname，rolename属性为rolename的//elementandrole对象，则该角色有该页面元素的权限
if(rolelist.contains(new elementandrole(elementname,rolename)))
{
return true;
}
}
return false;
}
//表示角色和页面元素的对应的关系的内部类
class elementandrole{
string elementname;
string rolename;
public elementandrole(string elementname,string rolename)
{
this.elementname=elementname;
this.rolename=rolename;
}
public boolean equals(object obj)
{
return(((elementandrole)obj).elementname.equals(this.elementname)&&((elementandrole)obj).rolename.equals(this.rolename));
}
}
}
在标签库能被jsp页面使用前，要做以下三个步骤
1、 在jsp页面中包括一个taglib元素，确定需要加载到内存的标签库。前面的jsp文件的第一行：<%@ taglib uri="http://mytag" prefix="custtag" %>做的就是这件事。
2、 在配置文件web.xml中使用taglib元素确定tld文件的位置。在web.xml中增加：
<taglib>
<taglib-uri>http://mytag</taglib-uri>
<taglib-location>
/web-inf/mytag.tld
</taglib-location>
</taglib>
3、tld文件必须使用taglib元素标识每个定制标签极其属性。
下面是使用这个标签库对应的tld文件
<?xml version="1.0" encoding="iso-8859-1" ?>
<!doctype taglib
public "-//sun microsystems, inc.//dtd jsp tag library 1.1//en"
"http://java.sun.com/j2ee/dtds/web-jsptaglibrary_1_1.dtd">
<taglib>
<tlibversion>1.0</tlibversion>
<jspversion>1.1</jspversion>
<shortname>mytag</shortname>
<uri/>
<tag>
<name>jspsecurity</name>
<tagclass>com.presentation.viewhelper.jspsecuritytag</tagclass>
<info>
jspsecuritytag
</info>
<attribute>
<name>elementname</name>
<required>true</required>
<rtexprvalue>true</rtexprvalue>
</attribute>
</tag>
</taglib>
