Protéger page JSF contre accès direct

Dans le web.xml tu peux ajouter des options de filtrage, en spécifiant que tel ou tel groupe à accès à tel ou tel répertoire. Tu peux aussi spécifier le mode d'autentification. Si c'est FORM, tu spécifies quelle page fait office de formulaire de connection. Voici un exemple :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
 
	<welcome-file-list>
 
		<welcome-file>pages/restricted/accueil.jsf</welcome-file>
	</welcome-file-list>
 
 
	<!-- sec admin -->
 
	<security-constraint>
		<web-resource-collection>
			<web-resource-name>AdminPages</web-resource-name>
			<description>
				These pages are only accessible by authorized
				administrators.
			</description>
			<url-pattern>/pages/secured/*</url-pattern>
			<http-method>GET</http-method>
 
 
		</web-resource-collection>
 
		<auth-constraint>
			<role-name>GeoReparition_Admins</role-name>
		</auth-constraint>
		<user-data-constraint>
			<transport-guarantee>NONE</transport-guarantee>
		</user-data-constraint>
	</security-constraint>
 
 
	<!-- sec user -->
	<security-constraint>
		<web-resource-collection>
			<web-resource-name>UserPages</web-resource-name>
			<description>
				These pages are only accessible by authorized user.
			</description>
			<url-pattern>/pages/restricted/*</url-pattern>
			<http-method>GET</http-method>
 
 
		</web-resource-collection>
 
		<auth-constraint>
			<role-name>GeoReparition_Admins</role-name>
			<role-name>GeoReparition_Users</role-name>
		</auth-constraint>
		<user-data-constraint>
			<transport-guarantee>NONE</transport-guarantee>
		</user-data-constraint>
	</security-constraint>
 
 
 
 
	<login-config>
		<auth-method>FORM</auth-method>
		<form-login-config>
			<form-login-page>/pages/login.jsf</form-login-page>
			<form-error-page>/pages/loginProbleme.jsf</form-error-page>
		</form-login-config>
	</login-config>
 
	<security-role>
		<description>An administrator</description>
		<role-name>GeoReparition_Admins</role-name>
	</security-role>
	<security-role>
		<description>Un utilisateur</description>
		<role-name>GeoReparition_Users</role-name>
 
	</security-role>

Ensuite, pour effectuer la connection en elle même, il faut que tu appelles une servlet spéciale de ton serveur d'application. Dans mon cas c'est weblogic :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
<form method="POST" action="j_security_check" >
	<div class="titreLogin1">
	Géo répartition agences
	</div>
	<table align="center"    class="dataTextBold"   >
		<tr>
			<td>
		<h:outputText  />
				<h:outputText value="#{apps['login.login']}"/>
			 </td>
			<td><input type="text"  id="j_username" name="j_username"></td>
		</tr>
		<tr>
			<td>
				<h:outputText value="#{apps['login.password']}"/>
			 </td>
			<td><input type="password" id="j_password" name="j_password"></td>
		</tr>
		<tr>
			<td  colspan=2 align=right>   <input type=submit value="Connexion"></td>
		</tr>
	</table>
 
 
 
	</form>

Le plus important c'est l'action et le nom des champs , tu remarquera l'action : j_security_check

La gestion des utilisateurs, des groupes et des rôles est liée à ton serveur d'application. Je suis sous weblogic, je pense que ce n'est pas ton cas, aussi, mon aide s'arrêtera là !