Konzeption und modellgetriebene Entwicklung eines ...

86 KAPITEL 5. ENTWURF UND IMPLEMENTIERUNG
5.10 Sicherheit
5.10.1 Umsetzung der Benutzerrollen
Die drei in den Anforderungen beschriebenen Rollen sind hierarchisch angeordnet,
in der Anwendung der Sicherheit werden sie aber getrennt betrachtet.
Dies hat zur Folge, dass ein Benutzer, dem nur die Administrator-Rolle zugewiesen
wurde, in der Anwendung keine Daten ändern dürfte, weil er nicht im
Besitz der StandardUser-Rolle ist. Um das geforderte Verhalten zu erhalten,
werden die Rollen durch die Anwendung hierarchisch vergeben. Dies bietet
Flexibilität für spätere Versionen mit gegebenenfalls differenzierteren Rollen.
So werden einem Benutzer, der als Administrator angelegt wurde, durch die
Anwendung alle drei Rollen vergeben, aber er wird nur als Administrator angezeigt.
Die Rolle des StandardUser beinhaltet auch die Reader-Rolle. Einzig
die Reader-Rolle veranlasst die Anwendung nicht weitere Rollen zu ergänzen.
5.10.2 Acegi Security System
Für die Sicherheit wurde das Acegi Security System[1] ausgewählt, weil es
in AndroMDA integriert ist und die Sicherheitsmechanismen besitzt, die den
Anforderungen genügen.
Das Acegi Security System kann verschiedene Mechanismen nutzen, um die
nötige Sicherheit zu erhalten. Diese Mechanismen greifen als Filter auf verschiedenen
Stufen einer Anfrage ein, darunter die Filter für den Zugriff auf
Objekte/Beans oder auf URL-Adressen. Wegen der relativ geringen Komplexität
der Zusammenarbeit von TroyDBaer mit anderen Services und TroyDBaer
selbst, ist der Aufwand für die Gewährleistung der nötigen Sicherheit vergleichsweise
gering.
Integration des Acegi Security System in TroyDBaer
Das Acegi Security System übernimmt bei der Anwendung die Autorisierung
der Benutzer, es filtert den Strom der Anfragen an den Server und prüft
die Rechte der Anfrage. Besitzt ein Benutzer keine Rechte, so ist er nicht
eingeloggt und wird auf die Login-Seite weitergeleitet, wo er sich anmelden
kann und dadurch seine Rollen zugewiesen bekommt. Es ist möglich sich als
Benutzer dauerhaft einzuloggen. Dann dient ein Cookie auf dem Client zur
Authentifizierung. Das gilt so lange das Cookie nicht gelöscht wird.