認可¶

画面にアクセス権限を設定するために¶

@RequestMapping()
public String index() {
    return "index.jsp";
}

Controllerクラスの設定により画面へのアクセスが可能になりました。

しかし、このままでは@RequestMappingメソッドの処理が行われる際に認可処理が省略されるため、誰でも画面を表示できます。

実際にシステムを運用する際は、アクセス権限を設定して特定のユーザのみに画面を表示させ、アクセスの制限をかける場合がほとんどです。

この章では、 intra-mart Accel Platform で用意されている認可機能を利用して、用意した画面を特定のユーザにのみ表示させる手順を説明します。

Controllerクラス、@RequestMappingメソッドの詳細については 「Annotated Controllers」 を参照してください。

認可とは¶

画面へアクセスするための認可設定方法¶

メニュー設定と認可についての注意事項¶

作成した@RequestMappingメソッドをメニューに表示させるには、メニューアイテムとしてメニューに登録する必要があります。

メニュー登録の詳細については、「テナント管理者操作ガイド」の「メニューを設定する」を参照してください。

メニュー表示時に行う認可チェックでは、設定したメニューアイテムのURLのみが使用され、呼び出し方法や引数は使われません。

そのため、メニューアイテムのURLに対応させる@RequestMappingメソッドは、@RequestMappingのvalueのみを使用し、URLから一意に@RequestMappingメソッドが決定できるようにしてください。

ここでは、メニューの設定でURLと引数を使っているパターンを例に挙げ、URLのみに修正します。

• 修正前

  メニューに引数を使っていて、@RequestMappingメソッドにparamsを使用して対応させています。

  メニュー表示時の解決にはURLのみが使用されるので、viewDog()でなく、view()の@Authzで認可チェックが行われてしまいます。
  メニューアイテムの設定内容

  URL	pets
  引数	キー	kind
  	値	dog

  Controllerクラス

  @RequestMapping(value = "pets", params = "kind=dog")
  @Authz(uri = "service://pets/dog")
  public String viewDog() {
      return "dog.jsp";
  }
  
  @RequestMapping(value = "pets")
  @Authz(uri = "service://pets")
  public String view() {
      return "pets.jsp";
  }
  

• 修正後

  URLと@RequestMappingのvalueのみでメニューと@RequestMappingメソッドを一意に対応できるように修正します。
  メニューアイテムの設定内容

  URL	pets/dog
  引数	なし

  Controllerクラス

  // paramsを使わず、valueに含めるように修正します。valueの値は、valueだけで見て他の@ReuqestMappingと重複しないように決定します。
  @RequestMapping(value = "pets/dog")
  @Authz(uri = "service://pets/dog")
  public String viewDog() {
      return "dog.jsp";
  }
  
  @RequestMapping(value = "pets")
  @Authz(uri = "service://pets")
  public String view() {
      return "pets.jsp";
  }
  

また、メニュー表示時に行う認可チェックは常に GETリクエスト が利用されます。

そのため、該当するメソッドに@RequestMapping(method = RequestMethod.POST) のようにPOSTのみを指定している場合、認可チェックが正しく行えません。

• 修正前

  @RequestMappingのmethodに POST のみを定義しています。

  メニュー表示時の認可チェックは常に GETリクエスト が利用されます。

  Controllerクラスには対応するメソッドがないため、認可チェックが正しく行えません。

  
  

  Controllerクラス

  @RequestMapping(method = RequestMethod.POST)
  @Authz(uri = "service://sample/foo")
  public String view() {
      return "view.jsp";
  }
  

• 修正後

  @RequestMappingにはGETリクエストも含めるように修正します。

  ここではmethodを省略し、GET, POSTの両方を受け付けるようにしています。

  
  

  Controllerクラス

  @RequestMapping()
  @Authz(uri = "service://sample/foo")
  public String view() {
      return "view.jsp";
  }