在自定义Shiro AuthorizingRealm中注入CDI托管bean

时间:2013-08-29 09:51:03

标签: java-ee cdi shiro

在我正在构建的应用程序中,我们使用Java 6 EE和JBoss(没有Spring等),使用JPA / Hibernate,JSF,CDI和EJB。

我没有找到很多好的通用安全解决方案(欢迎推荐),但我发现最好的选择是Apache Shiro。

然而,这似乎有许多缺点。其中一些您可以在Balus C's网站上阅读:

http://balusc.blogspot.com/2013/01/apache-shiro-is-it-ready-for-java-ee-6.html

但我偶然发现了另一个关于依赖注入和代理的问题here

基本上我有一个写得很好的基于JPA的UserDAO,它提供了身份验证所需的一切。我的数据库在persistence.xml和mydatabase-ds.xml(对于JBoss)中整齐地配置。

第二次复制所有这些配置信息并将用户表查询添加到shiro.ini中似乎很愚蠢。所以这就是为什么我选择编写自己的Realm而不是使用JdbcRealm。

我对此的第一次尝试是继承AuthorizingRealm ...类似于:

@Stateless
public MyAppRealm extends AuthorizingRealm {
    @Inject private UserAccess userAccess;

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(
        AuthenticationToken token) throws AuthenticationException {

        UsernamePasswordToken userPassToken = (UsernamePasswordToken) token;

        User user = userAccess.getUserByEmail(userPassToken.getUsername());
        if (user == null) {
            return null;
        }

        AuthenticationInfo info = new SimpleAuthenticationInfo();
        // set data in AuthenticationInfo based on data from the user object

        return info;

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // TODO
        return null;
    }
}

所以这很糟糕,因为MyAppRealm无法代理,因为在类层次结构的父类中有一个最终的init()方法。

我的第二次尝试是让MyAppRealm实现所有需要的接口,并将它们委托给AuthorizingRealm的实例。我不喜欢这个,但不妨试一试。

这让我更进一步,webapp启动了,但仍然不足。原因是在配置文件shiro.ini中,我为我的领域指定了类:

myAppRealm = com.myapp.MyAppRealm

这几乎告诉我Shiro将负责创建MyAppRealm实例。因此,它不会被CDI管理,因此不会被注入,这正是我所看到的。

我已经看到了这个SO answer,但我看不出它是如何工作的,因为AuthorizingRealm的子类将继承最终的init()方法,这意味着子类不能被代理。

关于我如何解决这个问题的任何想法?

2 个答案:

答案 0 :(得分:8)

这是一个经典问题:你有两个不同的框架,它们都想要管理对象生命周期,你需要让它们互动,但两者都坚持完全控制(我的心理形象就像哥斯拉和Gamera一样战斗在东京市中心)。您可能不会立即认为Shiro是CDI的竞争对手,但因为它创建了对象的实例,它实际上包含一个微小的,基本的依赖注入框架(也许这是Greenspun's tenth rule的DI版本)。我遇到了类似的问题,制作Web框架,创建和注入其支持bean的实例,与CDI交互。

解决这个问题的方法是在两个框架之间建立一个明确的桥梁。如果你真的很幸运,非CDI框架将有钩子让你自定义对象创建,你可以插入使用CDI的东西(例如在Stripes web框架中,你可以写一个ActionResolver使用它CDI)。

如果没有,则桥必须采用代理的形式。在该代理中,您可以执行显式CDI查找。您可以通过获取BeanManager来引导到CDI,这可以让您设置上下文,然后在其中创建bean。像这样:

BeanManager beanManager = (BeanManager) new InitialContext().lookup("java:comp/BeanManager");
Bean<UserDAO> userDAObean = (Bean<UserDAO>) beanManager.resolve(beanManager.getBeans(UserDAO.class));
CreationalContext<?> creationalContext = beanManager.createCreationalContext(null);
UserDAO userDAO = userDAObean.create(creationalContext);

userDAO是一个注入的CDI管理的bean,绑定到您现在保存为creationalContext的上下文。

当你完成bean时(如果每个请求执行一次查找或每个应用程序生命周期执行一次,则由你决定),使用以下命令释放bean:

creationalContext.release();

答案 1 :(得分:8)

您可以通过将您的领域初始化为应用程序的启动生命周期的一部分,然后让Shiro通过JNDI名称查找来检索它。

使用@Singleton和@Startup创建一个安装bean,以便在应用程序生命周期中尽早强制创建它。在这个类中,您将实例化“MyAppRealm”类的新实例,并提供注入的UserAccess引用作为构造参数。这意味着您必须更新“MyAppRealm”类以获取此新构造函数参数。

import java.util.logging.Level;
import java.util.logging.Logger;
import javax.annotation.PostConstruct;
import javax.annotation.PreDestroy;
import javax.ejb.EJB;
import javax.ejb.Singleton;
import javax.ejb.Startup;
import javax.naming.InitialContext;
import javax.naming.NamingException;

@Singleton
@Startup
public class ShiroStartup {

  private final static String CLASSNAME = ShiroStartup.class.getSimpleName();
  private final static Logger LOG = Logger.getLogger( CLASSNAME );

  public final static String JNDI_REALM_NAME = "realms/myRealm";

  // Can also be EJB...   
  @Inject private UserAccess userAccess;

  @PostConstruct
  public void setup() {
    final UserAccess service = getService();
    final Realm realm = new MyAppRealm( service );

    try {
      // Make the realm available to Shiro.
      bind(JNDI_REALM_NAME, realm );
    }
    catch( NamingException ex ) {
      LOG.log(Level.SEVERE, "Could not bind realm: " + JNDI_REALM_NAME, ex );
    }
  }

  @PreDestroy
  public void destroy() {
    try {
      unbind(JNDI_REALM_NAME );
    }
    catch( NamingException ex ) {
      LOG.log(Level.SEVERE, "Could not unbind realm: " + JNDI_REALM_NAME, ex );
    }
  }

  /**
   * Binds a JNDI name to an object.
   *
   * @param jndi The JNDI name.
   * @param object The object to bind to the JNDI name.
   */
  private static void bind( final String jndi, final Object object )
    throws NamingException {
    final InitialContext initialContext = createInitialContext();

    initialContext.bind( jndi, object );
  }

  private static void unbind( final String name ) throws NamingException {
    final InitialContext initialContext = createInitialContext();

    initialContext.unbind( name );
  }

  private static InitialContext createInitialContext() throws NamingException {
    return new InitialContext();
  }

  private UserAccess getService() {
    return this.userAccess;
  }
}

按如下方式更新shiro.ini

realmFactory = org.apache.shiro.realm.jndi.JndiRealmFactory
realmFactory.jndiNames = realms/myRealm

此方法将为您提供对所有CDI托管bean的访问权限,而无需利用CDI的内部工作方式。这样做的原因是因为在Web层出现之后才加载'shiro.ini',这是在初始化CDI和EJB框架之后。