Cherche framework avec contrôle d'accés

Bonjour,

J'ai souvent besoin de faire des pages web avec accès controlé. Jusqu'à présent je me suis toujours débrouillé avec un truc perso, style fichier texte avec liste des user / mot de passe, et des JSP en conséquence. C'est pas terrible, mais je n'ai pas besoin d'une haute sécurité, et je le fais rapidement.

De temps en temps je cherche autre chose.

Je trouve que XWiki c'est pas mal, mais malheureusement c'est trop orienté wiki...

Je trouve aussi que le principe des portlets est bien, alors j'ai essayé JBoss Portal que je trouve très bien, mais ça me parait hyper lourd. Rien que pour comprendre les usages entre CMS et Portlets j'ai du mal... Je ne sais même pas qui contrôle quoi pour un utilisateur donné...

Bref j'hésite beaucoup à sortir de mes petites combines... Est-ce que vous connaitriez un truc qui fasse ce genre de choses facilement à ma place ?

Bonjour

Je ne suis pas certain de bien comprendre tes besoins.
Peux tu donner plus de details sur ton use case?

Pour ma part je commencerais pas JAAS, il y a deja enormement de possibilites ici :
http://java.sun.com/javase/technologies/security/

Apres tu parles de Wikis, Portal et CMS, - je peux te parler d'eXo Platform Portal+CMS+DMS mais la n'est pas le sujet-. Ces solutions s'appuie a la fois sur JAAS (pour l'authentification -LoginModule-, mais aussi en partie pour les autorisation), et ensuite utilise leur propre mecanisme d'ACL en fonction des produits.

Par exemple, pour eXo sur la partie documentaire (CMS/DMS) la securite s'appuie sur les groupes et sur le JavaContent Repository.


Pour conclure peux tu decrire plus precisemment tes besoins?

Kenavo
Tug
http://www.exoplatform.org
http://www.nantesjug.org
http://blog.grallandco.com

C'est à dire que je ne le sais pas très bien moi même :yaisse2: J'emploie le terme framework à la place de truc, hi hi

Concernant la sécurité, j'aurais besoin d'un truc plus directement orienté web.

J'ai un peu avancé dans mes recherches... et j'ai choisi d'avancer sur quelque chose qui n'a rien à voir : wicket, après avoir hésité pour spring mvc. J'utilise déjà spring, qui me plait bien. Mais j'ai eu l'impression que je pourrai apprendre wicket plus vite, alors je me suis dit que si ça ne me convenait pas je pourrai toujours me retourner vers spring mvc.

Ce qui me plaît avec ces deux trucs est que j'ai juste des jars à mettre dans le lib de la webapp, je peux appliquer mes habitudes de programmeur fou normalement.

De manière générale, pour une application web, on utilise la sécurité des conteneurs.
La sécurisation de ressources se paramètre dans le web.xml et il y a différents types de supports pour décrire les utilisateurs authentifiés ainsi que leurs rôles.
Un exemple basic type :

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29

... <security-constraint> <web-resource-collection> <web-resource-name>Vigile Web</web-resource-name> <url-pattern>*.jsp</url-pattern> <url-pattern>*.do</url-pattern> </web-resource-collection> <auth-constraint> <role-name>Administrateur</role-name> <role-name>Utilisateur</role-name> </auth-constraint> <user-data-constraint> <transport-guarantee>NONE</transport-guarantee> </user-data-constraint> </security-constraint>   <login-config> <auth-method>BASIC</auth-method> <realm-name>Application Vigile</realm-name> </login-config>   <security-role> <role-name>Administrateur</role-name> </security-role> <security-role> <role-name>Utilisateur</role-name> </security-role> ...

---

Ensuite, dans le code java proprement dit (servlet, jsp, ...), on peut tester l'appartenance de l'utilisateur connecté à un rôle par la méthode isUserInRole(String) de HttpServletRequest et récupérer l'utilisateur connecté par getUserPrincipal().
Struts, pour ne citer qui lui, permet de lister les rôles authorisés pour une action directement dans le struts-config.xml...

Mais j'ai du mal à comprendre exactement ce que tu cherches... ;)

A+

Cette histoire de sécurité de container me convient très bien... comme quoi il est toujours bon de poser des questions incompréhensibles... Je vais essayer de me documenter là dessus (histoire que ma prochaine question soit plus claire)

Heu... si vous aviez un lien pour Grand Débutant sur cette sécurité par les conteneurs...

Sinon, je vais chercher :google:

http://www-igm.univ-mlv.fr/~dr/XPOSE...cat.php?rub=20

Quand tu te seras abreuvé de JAAS, je te conseille une autre lecture : Spring Security.
Il est plus souple d'utilisation que JAAS.