JSF

JSF Dersleri-Spring Security İle Yetkilendirme Ve Kimlik Doğrulama

Merhabalar arkadaşlar. Bu dersimizde Spring Security kullanarak sayfalara erişim yetkisi tanımlamayı öğreneceğiz.

Spring Security Nedir?

Spring Security en basit tabiri ile Spring Framework’ün gelişitiricisi şirket tarafından yazılmış kimlik doğrulama ve yetkilendirme mekanizmasına sahip olan bir güvenlik uygulamadır.

Nelere İhtiyacımız Var?

Bu dersimizde Spring Security kullanımı için bir JSF destekli bir Maven projesine ve ona ilave bağımlılıklara ihtiyacımız var. Bir Maven projesi açıp ona JSF desteği eklemeyi şurada anlatmıştım. JSF destekli Maven projesi edindikten sonra pom.xml dosyasını açın, ona bazı bağımlılıklar ekleyeceğiz. Ekleyeceğimiz bağımlılıklar Spring, Spring Security ve Commons Logging’e aittir. Aşağıdaki kodu pom.xml’inizdeki bağımlılıklarınıza ekleyin.

Bu kodun düzgün çalışabilmesi için properties etiketleri arasında şu tanımlamaların da olması gerekiyor. Muhtemelen pom.xml’de properties etiketi hazır gelmiş olacağı için sizin versiyon etiketlerini alıp koymanız yeterli olacaktır.

Netbeans ortamında pom.xml’i kayıt edip projeyi build etmeniz gerekiyor, Eclipse’de de pom.xml kaydediğildiğinde bağımlılıklar direk indiriliyor.

Şu anda kütüphanlerimiz geldiği için Spring Security için ayarlamalarımıza geçebiliriz. Şimdi projenizin WEB-INF klasörü altına SpringConfiguration.xml adında bir dosya koyun ve içine aşağıdaki kodu alın.

SpringConfiguration.xml

Bu xml dosyamızda kimlik doğrulama ve yetkilendirme mekanizmamızı tanımlıyoruz arkadaşlar. Kodun 16-27 satırları arasına bakalım. <security:intercept-url /> etiketi ile yönetmek istediğimiz, erişimi kısıtlayıp yetkilendirmek istediğimiz sayfaları tanımlıyoruz.  18.satırdaki kod index.xhtml sayfası için bir tanımlama yapmakta ve access özelliğine permitAll ataması yapılarak bu sayfaya herkesin erişebileceği söyleniyor.  Yani kimin erişeceği access özelliği ile belirleniyor. 19.satırdaki kod içerik ekleme sayfası için bir tanımlama yapıyır ve access özelliğine hasAnyRole(‘ROLE_ADMIN’, ‘ROLE_GUEST’) ataması yapılıyor. Bu giriş yapmamış, oturum açmamış bir kullanıcının bu sayfaya erişemeyeceğini söyler ve giriş yapanlar içinden de admin ve guest rolündeki kullanıcıların erişebilceğini bildirir.

22.satırdaki security:form-login etiketi ile oturum açma sistemini tanımlıyoruz. login-processing-url özelliği ile kullanıcının oturum açarken girdiği kullanıcı adı şifrenin hangi url üzerinde işleneceğini belirtiyoruz. Bu özellik Spring Security’nin varsayılan ayarlarında /j_spring_security_check  değerindedir. login-page özelliği ile hangi sayfanın oturum açma sayfası olduğunu söylüyoruz. default-target-url özelliği ile kullanıcı giriş yaptığında hangi sayfaya yönlendirileceğini söylüyoruz. Bu örneğimizde kullanıcı giriş yapınca index sayfasına yönlendirilecek. authentication-failure-url  özelliği kullanıcı giriş yapmayı denediği fakat geçersiz kullanıcı adı şifre girdiğinde yönlendirilecek sayfa belirtiliyor.

24.satırdaki <security:logout/> etiketi ile çıkış yapıldığında ne olacağını tanımlıyoruz. invalidate-session özelliğine true atıyarak çıkış yapıldığında session da kapattırılıyor. logout-success-url ile çıkış yapıldığında hangi sayfaya yönlendirileceğini söylüyoruz.

29-38 satırlar arası bu işin bel kemiğini oluşturuyor. Kimlik doğrulama işlemini yönetmesi için <security:authentication-manager> etiketini açıyoruz ve içine yetkilendirme sağlayıcısı olarak <security:authentication-provider> etiketi açıyoruz.  <security:password-encoder hash=”md5″/> etiketi ile kullanıcının girdiği şifresi MD5 şifreleniyor ve veri tabanında eşleşiyor mu diye bakılıyor. <security:jdbc-user-service> etiketi ile de asıl mana da yetkilendirmeyi yapıyoruz. data-source-ref özelliği ile verilerin nereden çekilip karşılaştırılacağını söylüyoruz. users-by-username-query özelliğine atadığımız sql sorgusu ile giriş yapmayı deneyen kullanıcının bilgilerini uyeler tablosundan alıyoruz ve kontrol ediyoruz. authorities-by-username-query  az önce bilgileri çekilmiş kullanıcının yetki tipini öğreniyoruz.

40-45 arasındaki satırlar ile veritabanına ait atamalar yapılıyor. Burada Spring’in jdbc için sağladığı sınıfı ve veritabanın jdbc sınıfını birlikte kullandığımıza dikkat edelim.

47-53 arasındaki satırlar ile Spring’in döndürdüğü hataların ekrana yazdırılabilmesi için bir properties dosyasının kullanımı ile bilgiler yer alıyor.

Web.xml

Web.xml dosyamız içinde Spring Security için hazırlamış olduğumuz xml dosyamızı tanıtmamız gerekiyor. Bunun için context-param etiketini kullanıyoruz. Dosyayı tanıttıktan sonra bu dosyadaki verileri işleyecek sınıfları tanıtmamız gerekiyor. Bu sınıflarda ContextLoaderListener ve RequestContextListener sınıflarıdır. listener etiketi ile bu sınıfları tanımlıyoruz. Son olarak da Spring Security’nin filtre sınıfını tanıtıyoruz. DelegatingFilterProxy filterını ve ona ait pattern’i tanımlayıp kod tarafına geçebiliriz.

girisYap.xhtml

Xhtml sayfamız içinde ilk olarak head etiketlerinin arasında f:event etiketi tanımlıyoruz ve type özelliğine preRenderView ataması yapıyoruz. listener özelliğine de giriş denetleme sınıfnın içindeki authorizedUserControl metodunu atıyoruz. Böylece sayfa kullanıcıya gösterilmeden hemen önce authorizedUserControl metodu çağırılıyor.

Bunun dışında yapmamız gereken bir diğer işlem gerekli id atamalarının yapılmasıdır. Kullanıcı adının girildiği inputText’in id özelliğine j_username  ,parolasını girdiği inputText’in id özelliğine de j_password atamasını yapıyoruz.

Giriş Yapın butonu ile de kullanıcının girdiği kullanıcı adı, parolanın kontrol edilceği metodu çağırıyoruz.

Alt kısımda dikkat ederseniz bir de outputLabel bileşeni bulunmakta.  Bu outputLabel Spring Security’nin son fılattığı alıyor, properties dosyasındaki karşılığını buluyor ve sonra ekrana bunu yazıyor.

GirisDenetlemeSinifi.java Kodu

Giriş denetleme sınıfımız içinde iki metodumuz bulunuyor.  Login metodu kullanıcının girdiği kullanıcı adı şifreyi Spring Security’e iletip mekanizmayı çalışıtırıyor. authorizedUserControl metodu az önce girisYap sayfasında da gördüğümüz üzere sayfa yüklenmeden hemen önce çağırılıyor ve kullanıcının giriş yapıp yapmadığına bakıyor. Eğer yapmışsa girisYap sayfası yerine içerik ekleme sayfasına yönlendirme yapılıyor ve bu güvenlik çatısı giriş sayfasını kendisi kapatmış oluyor. Yani oturum açıldığında giriş sayfasına artık ulaşılamıyor.

messages.properties

Properties dosyamız içinde hesabın engellenmiş olması ya da kullanıcı adı şifrenin yanlış olması ile mesajların Türkçe karşılıkları yer alıyor.

 Ekran Çıktıları

Screen Shot 2015-08-24 at 14.09.34

Veritabanında yer alan kullanıclar, MD5 ile şifrelenmiş parolaları ve onların yetkileri.

Screen Shot 2015-08-24 at 14.11.18

Mysql’de yazılmış bir trigger vasıtası ile kulalnıcının yetkisi ayrıca bir de userRoles tablosunda tutuluyor.

Screen Shot 2015-08-24 at 14.13.28

İçerik ekleme sayfasına ulaşmaya çalışıtığımda giriş sayfasına yönlendiriliyorum.

Kayıtlı bir kullanıcı ve parolamı giriyorum. Parolam MD5 şifrelenip veritabanında karşılaştırılacak.

Kayıtlı bir kullanıcı ve parolamı giriyorum. Parolam MD5 şifrelenip veritabanında karşılaştırılacak.

Screen Shot 2015-08-24 at 14.15.46

Giriş yaptığımda beni girisYap sayfasındaki preRenderView metodu sayesinde içerik ekleme sayfasına yönlendirildim.

Screen Shot 2015-08-24 at 14.28.29

Geçersiz bir kulalnıcı adı şifre girdiğimde Spring Securty mesaj döndürüyor ve bunu bildiriyor.

Spring Security kullanımı da bu şekilde arkadaşlar. Kullanımı biraz zor gelmiş olabilir, ben de ilk kullanmaya çalıştığımda çok zorlanmıştım. Yazıda anlamadığınız yer olursa, veya ilaveten sormak istedikleriniz olursa yorum kısmından sorabilirsiniz. Gelecek JBoss Seam Security kullanımını anlatmayı planlıyorum. Görüşene kadar sağlıcakla kalın 🙂

  • Erdem Kalyoncu

    Dostum selam yazılarını takip ediyorum oldukça iyi kaynaklar. Benim bir sorunun var belki bir yol gösterebilirsin, malum böyle projelerde kütüphanelerin güncel olması çok önemli fakat senin şuanki sürümle spring security 4.0.3 sürümü uyumlu değil ve default olarak “Bad cridentials” hatası alınıyor, çözümü mutlaka vardır fakat yinede bulamadım, projeni güncellersen yada aynı projenin “xml” değilde “annotations” ile yapılmışını paylaşabilirsen çok daha iyi olacağını düşünüyorum. Yazılarının devamını dilerim, teşekkürler.

    • Merhabalar.
      Spring’in 4.x.x numaralı sürümü ile Spring Security’nin 4.x.x numaralı sürümünü birlikte kullanmak için ben de uğraştım ama bir çözüm bulamadım, dediğin gibi hata alıyordum. Ama yakın zamanda denemedim, tekrar bakmam gerek 🙂
      Annotations meselesine bakayım inşaAllah, bu yazının ikincisi olabilir belki o.
      Ben de teşekkür eder, sağlık sıhhat dilerim.

  • Emre

    Güzel ve açıklayıcı bir paylaşım.
    source kodlarını da paylaşırmısın. anotation lar ile de yapmışsan paylaşımlarını bekliyoruz 🙂

    • Merhabalar.
      Bu yazıyı kendimi geliştirmek için yazdığım bir blog projesi üzerinden yazmıştım. O projenin kaynak kodları şuradadır:
      https://github.com/ilkgunel/BlogProjesi
      Ayrıca Anotations ile meselesi üzerinde de duracağım.
      Kolay gelsin. 🙂