FluorineFx:认证与授权

对认证与授权没啥概念的新同学,建议先看下 .net中的认证(authentication)与授权(authorization),然后再继续。

Flash/Flex在通过FluorineFx调用.Net中的方法时,同样也会遇到认证与授权问题,即:

“是否随便一个阿猫阿狗都能来调用我的方法?”或者可以理解为:“调用我的方法前是否需要登录?” 这就是认证

“门卫放进来后,是不是不管什么身份的人,都能来拿东西?”或者可以理解为:“登录后的用户,具备何种资格的人才能调用方法?” 这就是授权

步骤:

1、先创建自己的LoginCommand类(相当于门卫,用于把关):DemoLoginCommand

using System.Collections;
using System.Security.Principal;
using FluorineFx.Security;

namespace _04_Authentication
{
    public class DemoLoginCommand:GenericLoginCommand
    {
        public override IPrincipal DoAuthentication(string username, Hashtable credentials)
        {
            string password = credentials["password"] as string;           
            if (username.Length > 0)//当然:这里只是演示,实际应用中可从数据库中检验用户名和密码
            {
                GenericIdentity identity = new GenericIdentity(username);
                //下面的代码,授予登录用户:"admin"角色,仍然只是演示,实际应用中,可以根据用户名到数据库里查询对应的角色
                GenericPrincipal principal = new GenericPrincipal(identity, new string[] { "admin"});

                return principal;
            }
            else //检验不通过的处理
            {
                return null;
            }
        }
    }
}

2、再创建一个不需要认证就能随便调用的远程服务 DemoLoginService

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using FluorineFx;

namespace _04_Authentication
{
    [RemotingService]
    public class DemoLoginService
    {
        //其实这个方法随便起什么名字都行,只要在flash中调用时跟这里一致就行(可以理解为方法占位符),但是通常为了有意义,命名为Login
        public bool Login()
        {
            //这个返回值,其实返回true或false都无所谓,重点不在这里
            return true;
        }

        //同样,这里方法的名字其实也可以随便起
        public bool Logout()
        {
            new DemoLoginCommand().Logout(null); //这一行才是关键,相当于把"认证信息"清空了
            return true;//明白了上一行后,其实也应该能想到:这里返回true或flase其实都不重要
        }
    }
}

3、为了对比,再来创建一个需要认证的远程服务:DemoSecureService

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using FluorineFx;

namespace _04_Authentication
{
    [RemotingService]
    public class DemoSecureService
    {         
        //太简单了,不作解释了
        public string HelloWorld()
        {
            return "从服务端返回的安全数据.";
        }
    }
}

等一下,提个问题:比较这个服务跟刚才创建的服务,除了里面的方法名称(及相关的方法处理逻辑)不同,本质上没区别吧? 凭啥说调用这个服务就需要认证,而刚才那个服务就能随便调用?

很好,希望大家带着这个问题继续,后面会揭晓。

先打个岔:回想一下asp.net中后台目录权限的处理,我们可以在web.config 中通过配置来决定某个目录是否可访问

<location path="admin">
	<system.web>
		<authorization>
			<deny users="?" />
			<deny roles="买家" />
			<deny roles="卖家" />
		</authorization>
	</system.web>
</location>

这段配置的意思就是 /admin目录,匿名用户无法访问(即要求登录),同时"买家","卖家"二种角色被拒绝了(即:就算你登录了,只要你是"买家"或"卖家"角色,同样也访问不了)

FluorineFx中,同样也是用配置来实现权限访问的:

先看remoting-config.xml的配置

<?xml version="1.0" encoding="UTF-8"?>
<service id="remoting-service"
    class="flex.messaging.services.RemotingService"
    messageTypes="flex.messaging.messages.RemotingMessage">


  <adapters>
    <adapter-definition id="dotnet" class="FluorineFx.Remoting.RemotingAdapter" default="true"/>
  </adapters>

  <default-channels>
    <channel ref="my-amf"/>
  </default-channels>



  <destination id="fluorine">
    <properties>
      <!--这里表示所有源(文件)包括在内-->
      <source>*</source>
    </properties>
    <security>
      <!--这里表明访问上面source中定义的服务时,必须满足"privileged-users"的安全限制-->
      <security-constraint ref="privileged-users"/>
    </security>
  </destination>


  <destination id="login">
    <properties>
      <source>_04_Authentication.DemoLoginService</source>
      <!--注意这里没有<security />节点,即_04_Authentication.DemoLoginService的访问没有安全限制,也就是可随便调用-->
    </properties>
  </destination>

</service>

关键地方已经注释了,这个配置就表明了_04_Authentication.DemoLoginService不需要登录就能调用,而其它服务调用时要受到"privileged-users"的限制,那么这个限制到底如何描述的呢?

services-config.xml配置

<?xml version="1.0" encoding="utf-8" ?>
<services-config>
  <services>
    <service-include file-path="remoting-config.xml" />
  </services>


  <security>
    <!--这里跟前面的"privileged-users"对应上了-->
    <security-constraint id="privileged-users">
      <!--表明认证方法为开发人员自定义-->
      <auth-method>Custom</auth-method>
      <!--调用该限制相关的服务,必须是admin或user角色-->
      <roles>
        <role>admin</role>
        <role>user</role>
      </roles>
    </security-constraint>
    <!--这里指明了验证登录时,由谁来把关,即DemoLoginCommand-->
    <login-command class="_04_Authentication.DemoLoginCommand" server="asp.net"/>
  </security>

  <channels>
    <channel-definition id="my-amf" class="mx.messaging.channels.AMFChannel">
      <endpoint uri="http://{server.name}:{server.port}/{context.root}/Gateway.aspx" class="flex.messaging.endpoints.AMFEndpoint"/>
    </channel-definition>
    <properties>
      <!-- <legacy-collection>true</legacy-collection> -->
    </properties>
  </channels>
</services-config>

同样:重点地方已经加了注释。

另外一个重要配置:fluorineFx说到底是宿主在asp.net iis环境中的,所以它的认证票据同样是保存在cookie中的,web.config的表单认证方式要设置为Forms,即

<?xml version="1.0"?>
<configuration>
  <system.web>
    <compilation debug="true" targetFramework="4.0" />

    <httpModules>
      <add name="FluorineGateway" type="FluorineFx.FluorineGateway, FluorineFx"/>
    </httpModules>

     <!--这里要指定为Forms认证方式-->
    <authentication mode="Forms"></authentication>
    
  </system.web>
</configuration>

ok,服务端就全部完成了,再来看Flash端的调用:

UI界面:

先讲下我们要做什么:

a、点击“登录”或“注销”时,调用不需要登录的DemoLoginService

b、点击"远程调用"时,调用需要认证的DemoSecureService

预测一下结果:

点击“登录”前,如果直接点击“远程调用”,应该会调用失败(因此此时尚未登录认证)

如果先点击“登录”后,再点击“远程调用”,因为这时已经登录认证过了,所以应该成功

完整flash代码:

package 
{
	import flash.display.Sprite;
	import flash.net.ObjectEncoding;
	import org.bytearray.remoting.Service;
	import org.bytearray.remoting.PendingCall;
	import org.bytearray.remoting.events.ResultEvent;
	import org.bytearray.remoting.events.FaultEvent;
	import fl.controls.TextInput;
	import flash.text.TextField;
	import fl.controls.TextArea;
	import fl.controls.Button;
	import flash.events.MouseEvent;



	public class LoginDemo extends Sprite
	{
		private var _txtUserName:TextInput;
		private var _txtPassWord:TextInput;
		private var _txtResult:TextArea;
		private var _btnLogin:Button;
		private var _btnLogOut:Button;
		private var _btnCall:Button;

		private var _gatewayUrl:String = "";
		private var _service:Service;		
		private var _callService:Service;
		private var _rpc:PendingCall;
		

		public function LoginDemo()
		{

			this._txtUserName = txtUserName;
			this._txtPassWord = txtPassword;
			this._txtResult = txtResult;
			this._btnCall = btnCall;
			this._btnLogin = btnLogin;
			this._btnLogOut = btnLogout;

			this._txtUserName.text = "菩提树下的杨过";
			this._txtPassWord.displayAsPassword = true;
			this._txtPassWord.text = "123456";


			if (root.loaderInfo.parameters.remotingGatewayPath != null)
			{
				_gatewayUrl = root.loaderInfo.parameters.remotingGatewayPath + "/Gateway.aspx";
			}
			else
			{
				_gatewayUrl = "http://localhost:22892/Gateway.aspx";

			}
			

			this._btnLogin.addEventListener(MouseEvent.CLICK,btnLogin_Click);
			this._btnLogOut.addEventListener(MouseEvent.CLICK,btnLogout_Click);
			this._btnCall.addEventListener(MouseEvent.CLICK,btnCall_Click);


		}
		
		//登录
		private function btnLogin_Click(e:MouseEvent):void
		{
			_service = new Service("_04_Authentication.DemoLoginService",_gatewayUrl,ObjectEncoding.AMF3);
			//这一行是关键,用于将用户名、密码发送到DemoLoginCommand
			_service.setRemoteCredentials(this._txtUserName.text, this._txtPassWord.text);						
			_rpc = _service.Login();
			_rpc.addEventListener( ResultEvent.RESULT, loginSuccess );
			_rpc.addEventListener( FaultEvent.FAULT, loginFailure );

		}

		private function loginSuccess( pEvt:ResultEvent ):void
		{
			this._txtResult.text = "登录成功!";
		}



		private function loginFailure( pEvt:FaultEvent ):void
		{
			this._txtResult.text = "登录失败,原因:" + pEvt.fault.description;
		}
		
		//注销
		private function btnLogout_Click(e:MouseEvent):void
		{
			_service = new Service("_04_Authentication.DemoLoginService",_gatewayUrl,ObjectEncoding.AMF3);
			_rpc = _service.Logout();
			_rpc.addEventListener( ResultEvent.RESULT, logoutSuccess );
			_rpc.addEventListener( FaultEvent.FAULT, logoutFailure );

		}
		
		
		private function logoutSuccess( pEvt:ResultEvent ):void
		{
			this._txtResult.text = "注销成功!";
		}



		private function logoutFailure( pEvt:FaultEvent ):void
		{
			this._txtResult.text = "注销失败,原因:" + pEvt.fault.description;
		}
		
		//远程调用需要认证的服务
		private function btnCall_Click(e:MouseEvent):void
		{
			_callService = new Service("_04_Authentication.DemoSecureService",_gatewayUrl,ObjectEncoding.AMF3);
			_rpc = _callService.HelloWorld();
			_rpc.addEventListener( ResultEvent.RESULT, callSuccess );
			_rpc.addEventListener( FaultEvent.FAULT, callFailure );

		}
		
		
		private function callSuccess( pEvt:ResultEvent ):void
		{
			this._txtResult.text = "调用成功:" + pEvt.result;
		}



		private function callFailure( pEvt:FaultEvent ):void
		{
			this._txtResult.text = "调用失败,原因:" + pEvt.fault.description;
		}
	}
}

测试运行的截图:

这是一上来就直接点击"远程调用"的结果,注意右侧的大文本框:Requested access is not allowed 即访问不允许,说明这个服务是需要认证才能调用的。

如果点击“登录”后,再点击"远程调用",这回成功了,说明认证起作用了。

最后再啰嗦一下:前面提到了FluorineFx的认证票据跟asp.net一样,是保存在Cookie的,所以如果您把swf嵌入到网页上,在flash中点击登录后,如果在其它aspx页面上用

 <% if (!User.Identity.IsAuthenticated)
       {
           Response.Write("<h5>尚未登录!</h5>");
       }
       else 
       {
           Response.Write("<h5><span style='color:red'>" + User.Identity.Name + "</span>已经登录!</h5>");

           
       }
     %>

同样也能检测出用户的登录状态!(前提是不要关闭刚才那个嵌入swf的页面)

唯一遗憾的是:FluorineFx生成的Cookie认证票据中,并未包含Roles角色信息,所以在AspX页面上无法用IsInRole来判断当前用户的角色(我跟踪了一下,fluorineFx在Cookie中仅保存了用户名、密码以及一些唯一性标识,官方提供的认证演示中虽然有用IsInRole来判断,但其实是没用的)。

当然这个问题,您可以修改FluorineFx的源码来解决,这点工作就留给大家了。 

不过令人高兴的是,反过来却可以!即:如果在asp.net上登录了,认证和授权信息在flash里能识别,通常情况下,这已经能满足绝大多数需要了。

示例源代码下载: http://cid-2959920b8267aaca.office.live.com/self.aspx/Flash/FluorineFx^_Demo^_04.rar

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏拂晓风起

在asp.net的web应用系统中导出申请表等文档

1334
来自专栏Jerry的SAP技术分享

Cordova插件中JavaScript代码与Java的交互细节介绍

在Cordova官网中有这么一张架构图:大家看右下角蓝色的矩形框"Custom Plugin"——自定义插件。意思就是如果您用Cordova打包Mobile应用...

1002
来自专栏Golang语言社区

Golang测试技术

本篇文章内容来源于Golang核心开发组成员Andrew Gerrand在Google I/O 2014的一次主题分享“Testing Techniques”,...

4116
来自专栏落影的专栏

编译与链接过程的思考

前言 最近遇到一个错误,如下 ? 在解决过程中,回顾了很多知识,于是有了这篇文章。 关键词:预处理、编译、汇编、链接、动态链接库、静态链接库、真机调...

5209
来自专栏章鱼的慢慢技术路

使用Go语言+Protobuf协议完成一个多人聊天室

之前用纯逻辑垒完了一个可登入登出的在线多人聊天室(代码仓库地址),这次学习了Protobuf协议,于是想试着更新下聊天室的版本。

1363
来自专栏Albert陈凯

Hadoop数据分析平台实战——250JSSDK数据收集引擎编写离线数据分析平台实战——250JSSDK数据收集引擎编写

离线数据分析平台实战——250JSSDK数据收集引擎编写 JsSDK设计规则 在js sdk中我们需要收集launch、pageview、chargeReque...

3678
来自专栏木宛城主

基于Socket的网络聊天室编程(第一版)

一:什么是套接字 在网络编程中最常用的方案便是Client/Server (客户机/服务器)模型。在这种方案中客户应用程序向服务器程序请求服务。一个服务程序通常...

2905
来自专栏liulun

基于.net开发chrome核心浏览器【五】

一:本篇将解决的问题 本章主要为了解决一下几个问题: 1.JsDialog的按钮错位的问题   我们开发出的浏览器,在有些操系统上调用alert,confirm...

2806
来自专栏用户2442861的专栏

Settings.xml文件详解

如果在Eclipse中使用过Maven插件,想必会有这个经验:配置settings.xml文件的路径。

4061
来自专栏Ken的杂谈

ASP.NET(C#) 发送邮件帮助类Mailhelper

2101

扫码关注云+社区

领取腾讯云代金券