Блог

У меня есть приложение на базе GWT / SmartGWT, которое развернуто в Google App Engine. Я использую источник данных на основе XML. Этот файл необходим для нормальной работы приложения для всех пользователей. Однако я не хочу, чтобы пользователи, не являющиеся администраторами, могли просматривать или загружать этот файл напрямую, указав его полный путь в адресной строке. Я не могу использовать ограничение безопасности GAE (разрешить доступ только администраторам), как указано ниже, потому что это сделает приложение бесполезным для обычных пользователей.

 <security-constraint>
    <web-resource-collection>
        <url-pattern>ds/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>admin</role-name>
    </auth-constraint>
</security-constraint>
  

Итак, есть ли способ запретить пользователям прямой доступ к файлу, но при этом разрешить им использовать его через приложение?

Заранее благодарю.

ОБНОВЛЕНИЕ (3 мая 2011):

У меня есть данные в нескольких XML-файлах, и все данные доступны только для чтения (только get, никаких add / update / delete для этих файлов). У меня есть несколько различных функциональных возможностей на клиенте, которые используют эти данные. В большинстве случаев каждая функциональность имеет отдельный источник данных. В некоторых случаях у меня есть привязка данных с помощью виджетов SmartGWT (например, ListGrid), а в других я просто преобразую данные в объекты и использую объекты на клиенте.

Итак, файл должен быть загружен клиентским кодом (javascript), но вы не хотите, чтобы пользователи его видели?

Это невозможно сделать — если данные доступны на клиенте, то к ним можно получить доступ.

Решения следующие:

1. Неправильное решение: предоставлять эти данные через GWT-RPC, вместо этого через загрузку файла. GWT-RPC сложно перепроектировать, поэтому «обычные» конечные пользователи не смогут просто загрузить данные. Однако пользователи с некоторыми знаниями смогут это сделать, поэтому это не решение для защиты конфиденциальных данных.

2. Правильное решение: предоставлять клиенту только те данные, которые необходимы и актуальны для данного пользователя. Используйте GWT-RPC для доступа к этим данным или используйте REST, если у вас есть другие клиенты, отличные от GWT. Не предоставляйте никаких конфиденциальных данных. Это в основном вынуждает вас реализовывать бизнес-логику на сервере, а не на клиенте. Что нужно сделать правильно.

Обновить:

вы все равно должны защитить сервлет:

 <security-constraint>
    <web-resource-collection>
        <url-pattern>/profile/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>*</role-name>
    </auth-constraint>
</security-constraint>