socket连接多层程序安全性简述 - 呼叫

韩冰

2. 呼叫 对连接其间每次呼叫进行安全检查

& E% @- o" P/ Z0 g6 Q; G

对应于MIDAS中其实就是每次取、改数据时对用户进行检查

6 z+ c/ A7 y. [! _/ V: w' W

因为所有客户端都是通过IAppServer接口对服务器进行操作

% u! U1 Z$ B' {8 E2 A4 b

因此一劳永逸的方法是自己提供IAppServer接口的实现，

" \+ ]0 e' N- F$ Z) E4 _

考察一个实例

class ATL_NO_VTABLE TLoginServerImpl

: REMOTEDATAMODULE_IMPL(TLoginServerImpl, LoginServer, TLoginServer, ILogin

Server),

public IConnectionPointContainerImpl<TLoginServerImpl>,

public TEvents_LoginServer<TLoginServerImpl>

{

...

k8 l2 Q. E' O7 g

}

BCB中是用REMOTEDATAMODULE_IMPL宏封装了IAppServer实现的定义

#define REMOTEDATAMODULE_IMPL(cppClass, CoClass, VclClass, intf) \

5 y7 W; D5 w" F( q6 a

public CComObjectRootEx<CComObjectThreadModel>, \

public CComCoClass<cppClass, &CLSID_##CoClass>, \

public IAppServerImpl<VclClass, cppClass, intf, &IID_##intf, \

LIBID_OF_##CoClass>

l9 L: L3 |; D: b# x

这里的IAppServerImpl是BCB用来实现IAppServer的模板类

而IAppServerImpl的实现代码在atlvcl.h文件中，很简洁

完全可以通过实现自己的相应模板类来实现在IAppServer

8 q( d) R, l9 \; k/ s

一级实现用户身份检验功能。这样做效率最高，但比较麻烦

0 U. g J% x# `2 {

有兴趣的朋友可以自己下去试试，这里不再详细说明

1 { H* r1 i0 z4 o& }

$ R4 Y$ O# Y C+ S: i

注意基本上所有的IAppServer方法都提供了一个OleVariant& OwnerData

K+ l6 r0 N& o6 _7 L/ F8 a

参数，可以通过此参数取得足够的用户信息，用以校验

比如偶比较喜欢给客户一个实时生成的SessionID(GUID类型)

然后将之与服务器端已知的特定用户信息一起hash一把，呵呵

4 f$ _4 r! X( n2 |/ I2 o+ p

, g1 _& |. A a

次一级的方法是利用现有的VCL结构提供的事件来解决

不过这样做就有点麻烦了，呵呵，你必须在所有需要有

# C( V( l. e& E' x0 L

安全检验功能的TDatasetProvider的基本上所有BeforeXXX

事件里面增加相应的安全检验功能，如

4 {4 k* T6 ]8 O& _* A5 s

if(!IsLogin(OwnerData))

3 d: m0 z j. N: n# T) k

{

throw Exception("Please login first!");

' r3 N1 n8 L3 R5 J& u

}

出错直接抛出一个异常即可，系统会自动捕获返回给客户端

好在大部分的beforeXXX事件都是TRemoteEvent类型，可以共用一段代码

3 V3 r/ w f8 ]6 M" E

而在客户端需要做的事情就是在合适的时刻login/logout

然后在相应的TClientDataSet::BeforeXXX事件中将

OleVariant &OwnerData设置成相应的数据

; a9 c2 n3 U; Q6 u

0 G, Q S' J& L& X

一种变通的办法可以重载你的TSocketConnection类

将每次对IAppServer接口的调用中的OwnerData加一个

自己的鉴定信息头，然后在服务器端剥离，呵呵

9 q) x7 S- t8 u2 K

这个方法有兴趣自己试试好了