7.15.2. アノテーションによる認可チェック¶

7.15.2.1.1. 煩雑なデータ管理をせずに認可チェックができる¶

アノテーションによる認可チェックでは、ユーザに対してロール(役割)を割り当てる。 また、認可チェックを行いたい機能に対しても、その機能を実行するのに必要なロールを割り当てる。 そして、現在のユーザが実行対象の機能に割り当てられたロールを有するかどうかで、認可の判定を行う。

機能とロールの割り当ては、基本的にアノテーションを用いてJavaのプログラム上で行う。 また、ユーザとロールの割り当てについては、フレームワークでは特に方法を規定しておらず自由な方法を選択できるようにしている。

このようにアノテーションによる認可チェックでは、 ハンドラによる認可チェック よりも単純なデータ構造で権限を管理できるようになっている。

7.15.2.1.2. アノテーションで認可チェックができる¶

@CheckRole("ADMIN")
public HttpResponse index(HttpRequest request, ExecutionContext context) {

アノテーションによる認可チェックでは、アクションクラスのメソッドに対してアノテーションを使ってロールを割り当てることができる。 上記例では、 index メソッドを実行するために ADMIN ロールが必要であることを定義している。

7.15.2.1.3. ハンドラによる認可チェックとの使い分け¶

本認可チェックと ハンドラによる認可チェック を使い分ける基準について説明する。

アノテーションによる認可チェックは、前述のとおりロール単位で権限を管理する。 また、ロールと機能の割り当てはJavaのアノテーションで行う仕組みとなっている。 したがって、本認可チェックを用いることが適しているのは、ロール自体の増減やロールに割り当てる機能の変更が頻繁に発生しない場合となる。

例えば、権限管理が必要なロールの種類と機能の組み合わせが決まっており今後それらが大きく変化する予定がない場合は、本認可チェックを用いることで簡単に認可チェックを実現できる。

一方で、ユーザが所属する部署によって権限を制御したいようなシステムでは、組織変更で部署の構成や利用できる機能の組み合わせも大きく変わることが予想される。このようなシステムで本認可チェックを用いると、変更のたびにアノテーションの書き換えが必要になり大きな修正工数が必要となる。 このようなシステムでは、 ハンドラによる認可チェック を用いて権限の組み合わせをデータで管理することを推奨する。

7.15.2.3.1. 事前準備¶

<component name="roleEvaluator"
           class="nablarch.common.authorization.role.BasicRoleEvaluator">
    <property name="userRoleResolver" ref="userRoleResolver" />
</component>

<component name="userRoleResolver"
           class="nablarch.common.authorization.role.session.SessionStoreUserRoleResolver" />

<import file="nablarch/common/authorization/role/session/authorization-session.xml" />

<!-- インターセプタの実行順定義 -->
<list name="interceptorsOrder">
  <!-- CheckRole を追加する -->
  <value>nablarch.common.authorization.role.CheckRole</value>
  <!-- 他のインターセプターの記述は省略 -->
</list>

public class Roles {
    /** システム管理者のロール。 */
    public static final String ROLE_ADMIN = "ADMIN";
    /** プロジェクト管理者のロール。 */
    public static final String ROLE_PROJECT_MANAGER = "PROJECT_MANAGER";
}

List<String> userRoles = resolveUserRoles(loginId);
SessionStoreUserRoleUtil.save(userRoles, executionContext);

7.15.2.3.2. アクションのメソッドにアノテーションでロールを割り当てる¶

@CheckRole(Roles.ROLE_ADMIN)
public HttpResponse index(HttpRequest request, ExecutionContext context) {

CheckRole アノテーションをアクションメソッドに設定し value にロールを指定することで、アクションメソッドにロールを割り当てることができる。 上記例では、 index メソッドに対して ADMIN ロールを割り当てている。 これにより、 index メソッドは ADMIN ロールを持つユーザだけが実行できるようになる。 もし ADMIN ロールを持たないユーザがメソッドを実行しようとした場合は、 Forbidden がスローされる。

複数のロールを割り当てたい場合は、配列で指定できる。 以下に実装例を示す。

@CheckRole({Roles.ROLE_ADMIN, Roles.ROLE_PROJECT_MANAGER})
public HttpResponse index(HttpRequest request, ExecutionContext context) {

この場合、 index メソッドを実行するためには ADMIN と PROJECT_MANAGER の両方のロールを保有している必要がある(AND条件)。

OR条件にしたい場合は、 anyOf に true を設定する。 以下に実装例を示す。

@CheckRole(
    value = {Roles.ROLE_ADMIN, Roles.ROLE_PROJECT_MANAGER},
    anyOf = true
)
public HttpResponse index(HttpRequest request, ExecutionContext context) {

上記例では、 index メソッドを実行するためには ADMIN か PROJECT_MANAGER のいずれかのロールを保有していれば良いということになる。

7.15.2.3.3. アノテーションに割り当てた CheckRole の設定を一覧で確認する¶

アクションメソッドに設定した CheckRole アノテーションに誤りがないかチェックするために、アノテーションの設定状況を一覧表示する機能を提供している。 本機能を利用することで、アノテーションの設定に漏れが無いか、設定されている内容に過不足がないかをチェックできるようになる。

本機能は、システム起動時にアノテーションの設定情報を収集して、デバッグレベルでログに出力するという方法で実現している。 以下で、設定方法について説明する。

まず、 CheckRoleLogger のコンポーネントを以下のように定義する。

<!-- 初期化が必要なコンポーネント -->
<component name="initializer"
           class="nablarch.core.repository.initialization.BasicApplicationInitializer">
  <property name="initializeList">
    <list>
      <!-- 他の初期化が必要なコンポーネントの記述は省略 -->

      <component class="nablarch.common.authorization.role.CheckRoleLogger">
        <property name="targetPackage" value="com.nablarch.example.app.web.action" />
      </component>
    </list>
  </property>
</component>

CheckRoleLogger は、初期化が必要なコンポーネントとして BasicApplicationInitializer の initializeList に設定する。 またこのとき、 targetPackage プロパティにアクションクラスが存在するパッケージを指定する(サブパッケージも対象となる)。

なお、デフォルトでは末尾が Action で終わる名前のクラスが処理の対象となる。 この設定は targetClassPattern プロパティに任意の正規表現を指定することで変更できる。 詳細は CheckRoleLogger のJavadocを参照のこと。

上記設定が完了したら、ログレベルをデバッグレベルにしてシステムを起動する。 これにより、システム起動時に以下のようなログが出力されるようになる。

2023-01-11 14:29:31.643 -DEBUG- nablarch.common.authorization.role.CheckRoleLogger [null] boot_proc = [] proc_sys = [nablarch-example-web] req_id = [null] usr_id = [null] CheckRole Annotation Settings
class signature       role    anyOf
com.nablarch.example.app.web.action.AuthenticationAction      index(nablarch.fw.web.HttpRequest, nablarch.fw.ExecutionContext)
(中略)
com.nablarch.example.app.web.action.ProjectBulkAction update(nablarch.fw.web.HttpRequest, nablarch.fw.ExecutionContext)
com.nablarch.example.app.web.action.ProjectUploadAction       index(nablarch.fw.web.HttpRequest, nablarch.fw.ExecutionContext)        ADMIN   true
com.nablarch.example.app.web.action.ProjectUploadAction       index(nablarch.fw.web.HttpRequest, nablarch.fw.ExecutionContext)        PROJECT_MANAGER true

ログには、以下の要素がタブ区切りで出力されるようになっている。

複数のロールが割り当てられている場合、それぞれのロールは別の行に分けて出力される。 例えば上記出力例では、 ProjectUploadAction の index メソッドには ADMIN と PROJECT_MANAGER の2つのロールが割り当てられていることが分かる。 実装に置き換えると、以下のように設定されていることになる。

@CheckRole(
    value = {Roles.ROLE_ADMIN, Roles.ROLE_PROJECT_MANAGER},
    anyOf = true
)
public HttpResponse index(HttpRequest request, ExecutionContext context) {

7.15.2.3.4. プログラムで判定する¶

ロールの有無を、プログラム上の任意の場所で判定できる。

if (CheckRoleUtil.checkRole(Roles.ROLE_ADMIN, executionContext)) {
    // ADMIN ロールを持つ場合の処理
}

プログラムでロールの有無を判定する場合は、 CheckRoleUtil を使用する。 上記例では、 checkRole メソッドを使って現在のユーザが ADMIN ロールを持っているかどうかを判定している。

複数のロールを指定する場合は、 checkRoleAllOf メソッドか checkRoleAnyOf メソッドを使用して判定できる。

7.15.2.3.5. JSPで判定する¶

ハンドラによる認可チェック では、JSPのカスタムタグで認可チェックを行い自動的にボタンの表示・非表示を切り替えるような仕組みが提供されている。 しかし本認可チェックでは、このような仕組みは提供していない。

そこでここでは、本認可チェックを採用したうえでJSPの表示・非表示をロールの有無で制御する方法について説明する。

ロールによる表示の制御は、サーバー側で判定した結果をセッションストアなどに保存することで実現する。 実装例を以下に示す。

UserContext userContext = new UserContext();
userContext.setAdmin(CheckRoleUtil.checkRole(Roles.ROLE_ADMIN, executionContext));
userContext.setProjectManager(CheckRoleUtil.checkRole(Roles.ROLE_PROJECT_MANAGER, executionContext));

SessionUtil.put(executionContext, "userContext", userContext);

この例では、ログイン時にユーザのロールを判定した結果を UserContext クラスに保存してセッションストアに格納している(UserContext はただのJava Beansで、プロジェクトごとに必要に応じて作成する)。 これにより、JSPではEL式やJSTLを使うことで以下のように表示を制御できるようになる。

<c:if test="${userContext.admin}">
  <%-- ADMIN ロールを持つ場合に表示する --%>
</c:if>
<c:if test="${userContext.projectManager}">
  <%-- PROJECT_MANAGER ロールを持つ場合に表示する  --%>
</c:if>