Authentifizierung/Autorisierung about conference-system

[mbasti]

@autarchprinceps
ist es ok, wenn man in den jsf's bzw. xhtml-Seiten den authController nutzt, oder wiederspricht das irgendeinem Prinzip? Oder soll man nur die viewController in den jsf's nutzen?

[autarchprinceps]

Ich finde die Authentifizierung ist gut so.

Das ist technisch gesehen ein Controller. Ich sehe kein Grund nicht vom View/xhtml darauf zuzugreifen. Natürlich nur, wenn man einen einzelnen Wert abruft. Begingungen, oder andersweitig längeren Code in die #{} einzufügen, sähe echt eklig aus. Aber ein authController.CurrentUser.Name oder so was wäre meiner Meinung nach völlig angemessen.

[mbasti]

Was mir eben aufgefallen ist: man kann bsp. auch als Viewer eine Pub. erstellen. Man muss ja nur die richtige URL eingeben und dann bekommt man den Dialog. Es kann sein, dass auch an anderer Stelle solche Sachen möglich sind, da wir nie wirklich auf Autorisierung prüfen..

[mbasti]

Ok, ich hab das behoben. Außerdem gilt für alle ViewController (bis auf LogReg) jetzt, dass die User wirklich eingeloggt sein müssen.

@autarchprinceps Was ist eigentlich der Grund, dass wir kein Glassfish-Security nutzen? Ich denke, wir müssen das evtl. auch begründen in der Prüfung.
Meiner Einschätzung nach ist das Glassfish-Zeug eher dann geeignet, wenn man für die gesamte Applikation unterscheidet, ob man Admin, User, ... ist und ganze Bereiche abschirmt.

Bei uns ist ja jeder erstmal gleich berechtigt (also kein genereller Unterschied zw. Admin und User) und die Berechtigungen/Rollen eines Users sind immer anders bei jeder Konferenz (also wechseln ständig je nach View).

[autarchprinceps]

Ja ich glaube das ist der Grund. Die Rollenverwaltung von Java EE gibt jedem Nutzer eine Rolle und man kann dann Methoden nur für speziefische Rollen zugreifbar machen, aber wir haben ja nicht eine Rolle pro User, sondern eine Rolle pro User-Conference Verbindung.