如何集成Play(Web框架),Deadbolt(授权)和Slick(数据库访问)

Question

简而言之:我的应用程序使用Play web framework 2.5.1版.我想使用Deadbolt授权系统和Slick来访问我的数据库中的用户授权信息.我怎样才能做到这一点？ Deadbolt是专门为Play而制作的,而且Play带有Slick集成的开箱即用功能,所以它应该是可能的,如果不是很容易的话.

根据Deadbolt文档中的"Integrating Deadbolt",我扩展了这个DeadboltHandler特性.它的抽象getSubject()方法似乎是进行数据库查询的地方(所以说文档但没有任何示例).该方法作为参数接收AuthenticatedRequest并返回Subject基本上经过身份验证的用户标识,以及角色和权限(授权).

我被卡住了,因为虽然Play附带了Slick集成,但文档仅描述了如何在Play控制器中使用它.(注意我想使用依赖注入来执行此操作,因为使用全局查找已弃用且容易出错)

我在我的控制器中成功使用Deadbolt来限制对某些资源的访问,但是对于Deadbolt来说,控制器似乎是错误的地方,正在对授权细节进行数据库查询(如果是,那么这DeadboltHandler将是无用的).控制器构造函数签名定义类似于(注意控制器访问存储Web内容的默认数据库而不是授权数据库):

class Application @Inject()(
  dbConfigProvider: DatabaseConfigProvider,
  playConfig: play.api.Configuration,
  deadbolt: DeadboltActions
) extends Controller {

这样可行.但是,类似地注释DeadboltHandler扩展名@Inject无法提供对数据库的Slick访问:

class AuthHandler @Inject()(@play.db.NamedDatabase("auth") dbConfigProvider: DatabaseConfigProvider)
  extends DeadboltHandler {

结果是

not enough arguments for constructor AuthHandler: (dbConfigProvider: play.api.db.slick.DatabaseConfigProvider)services.AuthHandler.
Unspecified value parameter dbConfigProvider.

显然,Play会为控制器执行一些特殊操作,以便@Inject注释工作,这是我缺乏理解的.我认为它是使用注入器而不是new关键字构造控制器的本质,但是我对Play源代码的搜索未能告诉我究竟发生了什么.如果我能找到,也许我可以模仿这种技术来构建一个DeadboltHandler.

我看到该游戏带有GuiceInjector和GuiceInjectorBuilder这样的类,听起来好像它们可能是解决方案的一部分,但我的实验还没有告诉我如何,以及是否有任何关于如何在特定中使用它们的文档DeadboldHandler扩展的背景,我想念它.

我发现了上一个问题:Scala(Play 2.4.x)如何使用@inject()注释来调用类,这看起来非常重要.不幸的是,尽管原始海报发表了六条后续评论,但尚未得到答复.我觉得如果我得到了这个问题的答案,我会得到这个问题的答案,尽管我的问题非常具体:如何使用Play和Deadbolt以及Slick(在Scala中).

最令我困惑的是,这似乎应该是足够普遍的东西,它可以在文档中提到,或者已经被问到已经在SO上.我没有找到任何这样的引用通常意味着我正在做一些如此独特的错误,没有其他人有机会谈论它.它似乎应该足够简单,我乐观地希望我错过了一些非常基本的东西,我期待有一些善意的灵魂告诉我这些知识.

Answer 1

正如您在问题中指出的，检索用户的位置位于 中DeadboltHandler.getSubject。实际上，您可以将特定于数据库的代码移至其自己的类中，因此在本示例中这就是我所做的。

这是一个通用的实现DeadboltHandler；您应该能够将其放入代码中并几乎按原样使用它，因为持久性细节将在稍后处理。

import javax.inject.{Inject, Singleton}

import be.objectify.deadbolt.scala.models.Subject
import be.objectify.deadbolt.scala.{AuthenticatedRequest, DeadboltHandler, DynamicResourceHandler}
import models.{LogInForm, User}
import play.api.mvc.{Request, Result, Results}
import play.twirl.api.HtmlFormat
import views.html.security.denied

import scala.concurrent.ExecutionContext.Implicits.global
import scala.concurrent.Future

@Singleton
class MyDeadboltHandler @Inject() (authSupport: AuthSupport) extends DeadboltHandler {

  override def beforeAuthCheck[A](request: Request[A]): Future[Option[Result]] = Future {None}

  override def getDynamicResourceHandler[A](request: Request[A]): Future[Option[DynamicResourceHandler]] = Future {None}

  /**
    * Get the current user.
    *
    * @param request the HTTP request
    * @return a future for an option maybe containing the subject
    */
  override def getSubject[A](request: AuthenticatedRequest[A]): Future[Option[Subject]] = 
    Future {
      request.subject.orElse {
        // replace request.session.get("userId") with how you identify the user
        request.session.get("userId") match {
          case Some(userId) => authSupport.getUser(userId)
          case _ => None
        }
      }}

  /**
    * Handle instances of authorization failure.
    *
    * @param request the HTTP request
    * @return either a 401 or 403 response, depending on the situation
    */
  override def onAuthFailure[A](request: AuthenticatedRequest[A]): Future[Result] = {
    def toContent(maybeSubject: Option[Subject]): (Boolean, HtmlFormat.Appendable) =
      maybeSubject.map(subject => subject.asInstanceOf[User])
      .map(user => (true, denied(Some(user))))
      .getOrElse {(false, views.html.security.logIn(LogInForm.logInForm))}

    getSubject(request).map(maybeSubject => toContent(maybeSubject))
    .map(subjectPresentAndContent =>
      if (subjectPresentAndContent._1) Results.Forbidden(subjectPresentAndContent._2)
      else Results.Unauthorized(subjectPresentAndContent._2))
  }
}

现在，在主题尚未放入请求中的情况下，访问数据库的需要已减少。request.session.get("userId")请注意有关替换为您识别用户的注释。

然后，类提供对主题持久性的访问AuthSupport。这将 DB 访问与 DeadboltHandler 隔离开来。这非常简单，主要是因为您将使用 Slick 查询填写此内容。

@Singleton
class AuthSupport @Inject()(dbConfigProvider: DatabaseConfigProvider) {
    // set up your usual Slick support

    // use Slick to get the subject from the database
    def getUser(userId: String): Option[User] = ???
}

要公开这一点，您需要创建一个模块并将其注册到您的application.conf.

import be.objectify.deadbolt.scala.DeadboltHandler
import be.objectify.deadbolt.scala.cache.HandlerCache
import security.{AuthSupport, MyDeadboltHandler, MyHandlerCache}
import play.api.inject.{Binding, Module}
import play.api.{Configuration, Environment}

class CustomBindings extends Module  {
  override def bindings(environment: Environment,
                        configuration: Configuration): Seq[Binding[_]] =
    Seq(
         bind[DeadboltHandler].to[MyDeadboltHandler],
         bind[AuthSupport].toSelf,
         // other bindings, such as HandlerCache
       )
}

在中声明它application.conf是通常使用的问题play.modules.enabled：

play {
  modules {
    enabled += be.objectify.deadbolt.scala.DeadboltModule
    enabled += modules.CustomBindings
  }
}