4

前提・実現したいこと

JavaEE6 に準拠した環境下のJAX-RSで
javax.annotation.security.RolesAllowedアノテーションを
使い認可機能を実現したいですが方法がわかりません。

私は、@RolesAllowedを以下のようなイメージで使えたらいいなぁと思ってます。

  1. ServletFileterまたは、@PostConstructを付与したメソッド内部で、
    アクセスしたユーザをキーにDBからユーザに紐つくロールを取得。
  2. 1で取得したロールを@RolesAllowedで認識できるように設定。(これの方法がわからないorz)
  3. JAX-RSリソースの認可を@RolesAllowedで行う。

書籍やWebで例えば下記のようなコードがあります。

@Path("/")
@PermitAll
public class Resource {
    @RolesAllowed("user")
    @GET
    public String get() { return "GET"; }
}

この@RolesAllowed("user")の設定をWeb.xmlに記述する
ようなこと書いてありますが、いまいちこの使い方がわかっておりません。
アクセス時に渡されるパラメータやHTTPヘッダにより適用する
ロールって変わるとおもうのですが、なんでWeb.xmlに書くのか
理解ができない。

1 件の回答 1

1

なぜweb.xmlに書くのか

上記の使い方の希望で挙げている1、2についてはコンテナ側が提供する機能になります。
コンテナはweb.xmlに設定が書かれていないと何をすべきか理解できないため、
web.xmlに書く必要があります。

では、web.xmlに何を書くのかというと、
特定のURLに対するアクセスに対して、どのロールを許可するのかということを書きます。
例えば下記のような設定です。

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Web Resource</web-resource-name>
        <url-pattern>/*</url-pattern>
        <http-method>GET</http-method>
    </web-resource-collection>
    <auth-constraint>
        <role-name>Administrator</role-name>
        <role-name>User</role-name>
    </auth-constraint>
</security-constraint>

この例では、すべてのGETリクエストのURLはAdministrator, Userロールにのみ許可するということになります。このように、ロールの適用はパラメータ等で切り替わるのではく、
URL及びHTTPメソッドによって振り分けられます。

また、この設定だけではDBからロールを取得するという処理は勝手には行ってはくれないので、
コンテナ側に設定が必要になります。
ここで説明すると長くなってしまいますので、「GlassFish JdbcRealm」や「WildFly JdbcRealm」で検索してみてください。それぞれのコンテナに合わせた設定方法を説明したサイトが見つかると思います。

@RolesAllowedで認識できるように設定

@RolesAllowedの認識のさせ方ですが、これはJAX-RSの実装によって異なります。
JAX-RSの実装の一つであるJerseyの場合は、下記の設定がweb.xml必要になります。

<servlet>
    <servlet-name>ServletContainer</servlet-name>
    <servlet-class>com.sun.jersey.spi.container.servlet.ServletContainer</servlet-class>
    <!-- @RolesAllowed を使用するのなら必須 -->
    <init-param>
      <param-name>com.sun.jersey.spi.container.ResourceFilters</param-name>
      <param-value>com.sun.jersey.api.container.filter.RolesAllowedResourceFilterFactory</param-value>
    </init-param>
  </servlet>

また、もう一つの実装であるRESTEasyでは下記の設定がweb.xmlに必要です。

<context-param>
    <param-name>resteasy.role.based.security</param-name>
    <param-value>true</param-value>
</context-param>

このようにJavaEEのセキュリティ周りは、自ら実装することなく設定だけで実現させる仕組みになっています。

1
  • ご丁寧な回答ありがとうございます。 使い方のイメージがやっとわかるようになりました。 その後、いろいろ検討したり試したりした結果、 JAX-RSのメソッド実行前に毎回 認証+認可を行うことにしました。 利用するJAX-RSは1.1でfilterが使えないので filterに相当する機能を自作してしましました。 (JAX-RSの実装はJerseyです。Jerseyにはfilterに相当する機能があるようですが使い方がわからず自作しましたorz) これで、ひとまずやりたいことはできるようになりました。 自作したおかげで デザインパターン(Template Method,Abstract Factory,Strategy)と Javaのリフレクションとアノテーション解析周辺のコーディングについて触れることができてよかったです。
    – jurin_n
    2016年1月10日 13:17

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。