ENAPP

Um den JDNI-Lookup zu vereinfachen. Die Konvention wird nicht explizit von Java vorgeschrieben, sondern ist mehr eine Richtlinie.

• Stateless:N,

• Stateful:1

• Wenn der gleiche Inhalt im XML definiert ist.

• Es gilt XML vor Annotationen

Zugriff über EJBContext

• Zugriff zu Container Laufzeit Kontext

SessionContext und MessageDrivenContext

• erweitern EJBContext und stellen zusätzliche Methoden, spezifisch zum Bean Typ zur Verfügung (Security, Transaktion bezogen, Lookup)

Managed Bean (Backed Bean)

1. Compiler

2. Bytecode Verifier (Java Interpreter überprüft Class File (See 0xCAFEBABE in .class))

3. Class Loader (6.2)

4. Security Manager

3 Arten für die Sicherheit beim Laden von Klassen:

Class Loader und Namespaces

Trusted Class Libraries - Trustet/Untrustet einschränkung möglich

Protected Domains - zuordnung einmaldig bei erstellung

Jede Klasse wird einmalig bei ihrer Erzeugung einer Protection-Domain zugeordnet

• Eine Protection Domain ist eine Zuordnung von Rechten zu bestimmten Code(CodeSource, Principal)
• Kann während der Lebenszeit einer Klasse nicht mehr geändert werden
• Kapselt CodeSource, Principal array, ClassLoader und PermissionCollection

Java wurde entwickelt mit dem Ziel Anwendungen eine sichere Platform zu bieten

• Keine Pointer sondern Objektreferenzen
• Virtuelle Maschine - überwacht Programmausführung und Rechte
• Strenge Typisierung
• private, protected, package, public (Sichtbarkeiten)
• Exceptions - definierte und kontrollierte Programmabbrüche
• • Strenge Arraygrenzen - kein Zugriff auf benachbarte Entitäten

Java Authentication and Authorization Service (JAAS) ist ein Java-API, welches es ermöglicht, Dienste zur Authentifizierung und Zugriffsrechte in Java-Programmen bereitzustellen. JAAS orientiert sich an den Pluggable Authentication Modules (PAM) und unterstützt dadurch eine benutzerbasierte Autorisierung.

Deklarative Security

Im Deployment Descriptor (DD) wird definiert wer auf welche EJB und/oder welche Methoden zugreifen kann oder welche URL aufrufen darf. Roles & Permissions in  ejb-jar.xml and web.xml

Programmatische Sicherheit wird Programmiert, z.Bsp. Authentifizierung eines Users gegen einen LDAP dienst.

Vorteile: Losgelöst von Software selbst

Programmatische Security

Innerhalb der Bean-Implementation kann auf die Identity  zugegriffen werden, damit Context-spezifische Security  angewendet werden kann Deklarative and Programmatische Security werden typischerweise zusammen verwendet

Portabilität: „Write Once, Run Anywhere“

Transparenz: Applikationsentwickler müssen keine tiefgründigen Kenntnisse über Security haben um ihre Applikationen zu entwickeln

Isolation/ Abstraktion: Trennung von Business und Security – Der Deployer kann die Sicherheit hinzufügen

Erweiterbarkeit: Die Portabilität der Applikation wird durch die Einbindung von Sicherheits-Services nicht behindert

Unabhängigkeit: Die Einbindung von verschiedenen Sicherheitstechnologien soll möglich sein

“oh my god, they’ve got laser beams - ptieu, ptieu ptieu!”

Realm?

• komplette „Datenbank“ mit Usern und Gruppen (Webapplikation)

• identifiziert valide User einer Applikation

Realm-Typen:

• File-Realm

• Certificate-Realm

• LDAP-Realm

Benutzer sind entweder Personen oder Dienste (Subject) und können mehrere Identitäten (Principal) und Berechtigungen (Credential) besitzen.

EJB Security Modell - Web Security Modell

(zugr. Meth)--------------------(zugr. URL)

                   Roles

Container Security Services

                   Principals

Transport Level Security (SSL)

                  Network Infrastructure

1. Der Deployer definiert die Rollen im Deployment Descriptor (kann auch über Annotations im Code hinterlegt werden)

2. Der Deployer definiert im Deployment Descriptor die Zugriffsrechte der Business-Methoden mittels zuweisen der Rollen (kann auch über Annotations im Code hinterlegt werden)

3. Deployer definiert das Mapping der Gruppen zu den deklarierten Rollen im herstellerspezifischen Deployment Descriptor

4. Optinonal (Herstellerspezifische Deployment Descriptors, nicht in standard / Herstellerspezifische Einstellungen, nicht in Standard XML)

1. Applikationsentwickler implementiert die programmatische Authorizations-Logik innerhalb des Bean-Codes

2. Applikationsentwickler deklariert die abstrakte Security-Rolle im Deployment Descriptor der Bean

3. Der Deployer definiert das Mapping der abstrakten Security- Rollen zu den deklarierten Rollen (der spezifischen Umgebung) im Deployment Descriptor                        

4. Deployer definiert das Mapping der Gruppen zu den deklarierten Rollen im herstellerspezifischen Deployment Descriptor

f:ajax render=@form -> update felder in form

• event: Name des Ereignisses, das die Ajax-Anfrage auslöst. Mögliche Werte sind valueChange für Eingabekomponenten, action für Steuerkomponenten.
• execute: Eine durch Leerzeichen separierte Liste der IDs jener Komponenten, die beim Bearbeiten der Ajax-Anfrage durch JSF im Lebenszyklus ausgeführt werden sollen.
• render: Eine durch Leerzeichen separierte Liste der IDs jener Komponenten, die beim Bearbeiten der Ajax-Anfrage durch JSF im Lebenszyklus gerendert werden sollen.
• onevent: Erlaubt das Registrieren einer JavaScript-Callback-Funktion für Ajax-Ereignisse.
• onerror: Erlaubt das Registrieren einer JavaScript-Callback-Funktion für Fehler, die beim Bearbeiten der Ajax-Anfrage auftreten.
• disabled: Das Ajax-Verhalten wird "abgeschaltet", wenn dieses Attribut auf true gesetzt ist.

• jsf.ajax.request(source, event, options):

  • Diese Methode sendet eine Ajax-Anfrage an den Server.

• jsf.ajax.response(request, context):

  • Diese Methode bearbeitet die Anwort des Servers auf die AjaxAnfrage und ist für Endanwender nicht relevant.

• jsf.ajax.addOnError(callback):

  • Diese Methode registriert eine Callback-Funktion zum Behandeln von Fehlern, die während der Bearbeitung der Ajax-Anfrage aufgetreten sind.

• jsf.ajax.addOnEvent(callback):

  • Diese Methode registriert eine Callback-Funktion zum Behandeln von Ajax-Ereignissen.

Der Web Container ist die Schnittstelle zwischen Web  Komponenten und Web Server.

• Eine Web Komponente kann ein Java Server Faces Faclet oder ein Servlet sein.

• Der Container verwaltet den Lebenszyklus der Komponenten, versendet Anfragen an Applikationskomponenten und verwaltet die Schnittstellen zu Kontextdaten wie zB Informationen über die momentane Anfrage.

Der EJB Container ist die Schnittstelle zwischen Enterprise Beans welche die Business Logik der EE Applikation darstellen und dem Java EE Server.

• Der EJB Container läuft auf dem den Java EE Server und verwaltet die Ausführung der Enterprise Beans der Applikation.

• Der Application Client Container ist die Schnittstelle zwischen Java EE Application Clients und den Java EE Server.

• Java EE Clients sind spezielle Java SE Applikationen welche Java EE Server Komponenten verwenden  

• Der Java Application Client laeuft auf der Client Maschine und ist der Gateway zwischen der Client Applikation und den Java EE Komponenten die der Client verwenden will

Die Funktionalität einer Enterprise Applikation ist separiert in isolierte funktionelle Abschnitte (Tiers)

• Der client Tier besteht aus einem Programm das Anfragen an den middle Tier macht.

• Der middle Tier ist unterteilt in Web Tier und Business Tier.

• Der middle Tier behandelt die client Anfragen und Applikationsdaten.

Der middle Tier speichert die Applikationsdaten permanent im data Tier (EIS, Enterprise Information System Tier)

• Security Service

• Transaction Service

• Naming Service (Lookup Service)

• Remoting (RMI)

• Messaging Service

• Persistence Service

• Concurency Service

• Instance Pooling

Weil haben halt keinen Konstruktor

Klassen besitzen keinen Konstruktor mehr. Sie werden desshalb Beans genannt. Ihr Lebenszyklus wird vom Container verwaltet.

• System-Design Patterns

• Objektmodell einer Domäne welche sowohl das Verhalten als auch die Datenhaltung beinhaltet.

Konzeptionelle Integrität

• Konsistente Anleitung für die Systementwicklung
• Alle beteiligten verstehen was hier entwickelt wird
• Verwendet ein Blue Print (Referenz Architektur)

Korrektheit und vollständigkeit

• Architektur enthält alle high-level Entscheidungen
• Wo die Qualität nicht eingehalten werden kann müssen die Entscheidungsgrundlagen offen gelegt werden

Machbarkeit

• Die Architektur sollte einen Blue Print repräsentieren
• Dieser sollte vom Team realisiert werden können
• Sollte offen sein für Änderungen (in realisierbarer Zeit)

• Die Ansicht ist im Präsentationslayer
• Das modell ist die Businesslogik und die Daten
• Der Controller ist der Teil vom Applikationscode der auf die User Events reagiert und integriert das Modell und die View

Weil Servelt Anfragen entgegennimmt und JSP Antwortet

SpringSoC = Aufteilung der Aufgaben (z.B. PL, BL, DAL oder MVC)

Model:        JavaBean

View:            JSP / JSF

Controller:        Servlet

• Inclusion: wird in Code “eingeneriert”
• Transclusion: im Code wird später nachgeladen (AJAX)

Managed Beans Scope:

Application: Verfügbar solange die Applikation laeuft. Muessen Thread-Save sein, denn sie werden von allen anderen Beans gerufen.

Session: Für alle Anfragen/Antworten innerhalb einer Session.

View: Sichtbar solange die View nicht wechselt.

Request: Default Scope. Sichtbarkeit von einer Anfrage bis zur Antwort

Flash: kurze Lebensdauer, für temporäre Objekte

None: Nicht sichtbar für andere ManagedBeans

• @ManagedBean (ggf. auch andere Annotationen)

• ParameFlashterloser Konstruktor

• Vereinfacht das Entwickeln von grossen, verteilten Applikationen.
• Parallele Entwicklung möglich
• Austauschbare Komponenten
• Standort-Transparenz

• MVC (Model View Control)
• Facade (Fassade)
• IoC (Inversion of Control)
• View Helper

+

• Request/Response erzeugung “dynamischer” ContentAPI

• Portabilität: Da Servlets in Java geschrieben werden ist die Portabilität zwischen verschiedenen Plattformen / Betriebsystemen gewährleistet. Außerdem ist durch das Servlet API eine serverunabhängige Schnittstelle definiert, was Servlets portabel zwischen verschieden Servern macht.

• Klasse wird vom Server verwaltet (lifecycle)

• Clientanfragen entgegen nehmen und bearbeiten

• Multithreading

• Verteilbar

• Ein Heer von Programmierern

-

• Da jedes Servlet i.d.R. nur einmal Instanziiert wird (es existiert also genau ein Objekt von einem Servlet) und mehrere Threads des Servers gleichzeitig darauf zugreifen, muß man oft die Methoden des Servlets als synchronized deklarieren, um die Konsistenz von Member-Variablen (Klassenvariablen) zu gewährleisten. Dies wirkt sich negativ auf die Performance aus. Meistens kann man jedoch ohne Member-Variablen in den Servlets auskommen.

• Es wird HTML wissen vorausgesetzt

• Compile/Deploy Zyklus

• HTTPServletRequest

• HTTPServletResponse

• HTTPServlet (javax.servlet.http)