Tecnologie di Sviluppo per il Web

Transcript

1 Tecnologie di Sviluppo per il Web Applicazioni Web J2EE: Aspetti Metodologici versione 2.2 Questo lavoro è concesso in uso secondo i termini di una licenza Creative Commons (vedi ultima pagina) G. Mecca mecca@unibas.it Università della Basilicata Applicazioni Web Java: Aspetti Metodologici >> Sommario Sommario Tecniche Basate sui Bean Autenticazione e Autorizzazione Convalida dei Dati Metodologia di Sviluppo 2

2 Tecniche Basate su Bean Nelle applicazioni viste l utilizzo e la condivisione di bean (anche al di fuori di quelli del modello) consente di risolvere problemi ricorrenti di sviluppo Nel seguito discuteremo autorizzazione, autenticazione e restrizione dell accesso convalida dell input fornito dall utente 3 Autorizzazione e Autenticazione Problema ricorrente accesso ad una (porzione di) applicazione che richiede autenticazione attraverso nome utente e password Varie possibili soluzioni gestione dichiarativa utilizzando le funzionalità offerte dal server e HTTP gestione procedurale utilizzando una base di dati di nomi utente e password 4

3 Autorizzazione e Autenticazione Base di dati di utenti e password: idea i nomi utente e le password sono conservati in una base di dati l applicazione presenta una pagina iniziale per il login l utente fornisce il nome utente e la password il nome utente fornito viene cercato per l autenticazione attraverso un metodo che restituisce un bean Utente 5 Autorizzazione e Autenticazione Base di dati di utenti (cont.) il bean fornisce varie informazioni (es: ruolo: amministratore, utente normale ecc.) viene salvato nella sessione le pagine successive che richiedono autorizzazioni verificano la presenza del bean nella sessione se non trovano il bean rimandano alla pagina del login acim1 >> 6

4 Autorizzazione e Autenticazione Attenzione alla pagina login.jsp non genera nessuno schermo, ma si limita a re-indirizzare la richiesta ad altri schermi a seconda della natura della richiesta Un altro esempio schermoesitoricercaproprietariopercf.jsp 7 Autorizzazione e Autenticazione Si tratta di componenti di puro controllo componenti dell applicazione che non generano schermi avrebbero potuto essere sviluppati attraverso servlet, per rendere più evidente la loro funzione ma averlo scritto sotto forma di pagina.jsp semplifica il ciclo di sviluppo, compilazione e caricamento dell applicazione 8

5 Autorizzazione e Autenticazione Nota la soluzione presenta problemi legati alla sicurezza problema n.1: i nomi utente e le password viaggiano in chiaro; sarebbe necessario utilizzare SSL e HTTPS problema n.2: è necessario restringere l accesso alla tabelle utenti della base di dati (cioè escluderla dagli schemi esterni) 9 Convalida dei Dati Forniti dall Utente Problema ricorrente ogni volta che l utente fornisce dati attraverso una form, è necessario verificarne la correttezza es: dati del proprietario di un automobile: il nome deve essere non vuoto il codice fiscale deve avere una forma opportuna l anno di conseguimento della patente deve essere un numero intero tra 1920 e

6 Convalida dei Dati Forniti dall Utente Il supporto fornito dal contenitore limitata: tutti i dati acquisiti sono considerati valori di tipo stringa Soluzione tipica convalida sul client utilizzando JavaScript Ma molti browser disabilitano JavaScript alcuni vincoli (es: password) devono essere necessariamente verificati sul server 11 Convalida dei Dati Forniti dall Utente Soluzione proposta convalida sul server e utilizzo di formbean FormBean un bean è un componente in cui vengono raccolti i parametri di una form uno per ogni form che richiede convalida tutte proprietà di tipo stringa metodo List convalida(): verifica i dati e restituisce una lista di errori 12

7 Convalida dei Dati Forniti dall Utente Strategia per ogni attività di acquisizione di dati da form che richiede convalida, il programmatore definisce due pagine pagina server per l acquisizione (genera la form per il client) pagina server per la conferma dell acquisizione (verifica i dati e genera un messaggio di conferma) 13 Convalida dei Dati Forniti dall Utente Strategia (cont.) la form invoca la pagina di conferma la pagina di conferma istanzia il formbean e chiama il metodo di convalida se non ci sono errori, produce il messaggio di conferma e procede nelle operazioni altrimenti, inoltra (restituisce) la richiesta alla pagina di acquisizione, salvando nella richiesta il formbean e gli errori 14

8 Convalida dei Dati Forniti dall Utente Strategia (cont.) la pagina di acquizione visualizza gli errori e riproduce la form mostrando all utente i valori precedentemente inseriti l utente corregge i dati e risottomette la form il procedimento si ripete finché i dati non sono corretti 15 Esempio: Convalida dei Dati Descrizione della strategia acim1 >> pagina server di acquisizione <<build>> formbean errori pagina client di acquisizione controllo n.1 controllo n.2 controllo n.3 form <<submit>> parametri della form pagina server di conferma <<build>> pagina client di conferma <<redirect>> formbean errori formbean <<istanzia>> 16

9 Convalida dei Dati Forniti dall Utente Riassumendo: il processo fase 1: l utente sottomette la form: richiesta fase 2: avviene il processo di convalida: formbean metodo di convalida se ci sono errori, si torna all origine fase 3: altrimenti vengono eseguite le azioni previste: aggiornamento del modello fase 4: viene visualizzato lo schermo richiesto: risposta 17 Applicazioni Web J2EE: Aspetti Metodologici >> Riscrittura degli URI Riscrittura degli URI Tecnica base per istaurare una sessione a ciascuna sessione è associato un id unico il server invia al browser un cookie con l id della sessione il browser lo accetta e successivamente lo restituisce la gestione dei cookie è del tutto trasparente per l utente 18

10 Applicazioni Web J2EE: Aspetti Metodologici >> Riscrittura degli URI Riscrittura degli URI Non sempre l implementazione delle sessioni basata su cookie funziona Molti browser rifiutano i cookie i contenitori J2EE dispongono di un alternativa riscrittura degli URI ( URL rewriting ) idea: aggiungere informazioni sulla sessione agli URI nel codice HTML 19 Applicazioni Web J2EE: Aspetti Metodologici >> Riscrittura degli URI Riscrittura degli URI Agli URI nel codice HTML il contenitore aggiunge l identificatore della sessione esempio: tentativo.jsp;jsessionid=e4d371a0710 pagine che appartengono a sessioni diverse conterranno URI diversi Il client restituisce l identificatore della sessione nella richiesta HTTP in questo modo viene identificata la sessione 20

11 Applicazioni Web J2EE: Aspetti Metodologici >> Riscrittura degli URI Riscrittura degli URI Il contenitore è in grado di commutare automaticamente tra le due modalità se i cookie vengono rifiutati, viene attivata la riscrittura degli URI Attenzione come i cookie anche la tecnica di URL rewriting si presta a violazioni della privacy infatti gli URI sono visibili basta riprodurli per interferire in una sessione 21 Applicazioni Web J2EE: Aspetti Metodologici >> Riscrittura degli URI Riscrittura degli URI Di conseguenza il contenitore riscrive gli URI solo se lo sviluppatore lo richiede esplicitamente metodo String encodeurl(string uri) di HttpServletResponse il parametro uri rappresenta l uri non riscritto il risultato del metodo è l uri riscritto dal contenitore indovinam1jspnoencode >> 22

12 Applicazioni Web J2EE: Aspetti Metodologici >> Riscrittura degli URI Riscrittura degli URI Nota la riscrittura è a carico del contenitore l utente deve solo usare encodeurl la riscrittura degli uri avviene solo nel caso in cui i cookie vengono rifiutati questo caso è abbastanza frequente Suggerimento utilizzare sempre encodeurl per rendere più robusta la gestione delle sessioni 23 Applicazioni Web Java: Aspetti Metodologici >> Metodologia Metodologia per Applicazioni Web La fase di analisi è immutata casi d uso, attività, modello concettuale In fase di progettazione si progetta l architettura dell applicazione si progetta la base di dati (se presente) si progettano le classi di modello e persistenza si progetta l interfaccia e il controllo 24

13 Applicazioni Web Java: Aspetti Metodologici >> Metodologia Metodologia per Applicazioni Web Interfaccia e Controllo progetto delle pagine server progetto delle pagine client Ovvero quali pagine server quali pagine client (schermi) quali form e con quali parametri quali associazioni 25 Applicazioni Web Java: Aspetti Metodologici >> Metodologia Metodologia per Applicazioni Web Progettazione della grafica scelta della grafica delle pagine HTML da inviare ai client importante per rendere il sito attraente spesso condotta da grafici specializzati Criteri metodologici già discussi utilizzo di XHTML e CSS le pagine HTML devono rispettare i criteri di usabilità e accessibilità 26

14 Applicazioni Web Java: Aspetti Metodologici >> Sommario Riassumendo Tecniche Basate sui Bean Autenticazione e Autorizzazione Convalida dei Dati Riscrittura degli URI Metodologia di Sviluppo 27 Termini della Licenza Termini della Licenza This work is licensed under the Creative Commons Attribution- ShareAlike License. To view a copy of this license, visit or send a letter to Creative Commons, 559 Nathan Abbott Way, Stanford, California 94305, USA. Questo lavoro viene concesso in uso secondo i termini della licenza Attribution-ShareAlike di Creative Commons. Per ottenere una copia della licenza, è possibile visitare oppure inviare una lettera all indirizzo Creative Commons, 559 Nathan Abbott Way, Stanford, California 94305, USA. 28