Каким образом лучше добавить авторизацию на сайт?

Question

[oberontrik]

В определенные моменты требуется проверять авторизацию либо регистрировать новых пользователей в приложении использующем servlet'ы и tomcat.
Как лучше вынести логику приложения в отдельный класс, учитывая многопоточность и необходимость общаться с базой?

• Сделать авторизацию статической.
  
• Вынести авторизацию в отдельный класс. Создавать объект этого класса в каждом servlet'e требующем авторизацию в методе init(). В свою очередь, в этом объекте, в конструкторе получать соединение с базой данных и т.д.
  

1. Какой вариант лучше и почему?
2. Есть ли другие варианты, лучше чем эти, если да то почему? (отвечая на этот пункт, не стоит игнорировать первый)
Примечание: я хочу запилить авторизацию и регистрацию сам, да, я в курсе, что есть готовые решения.

Answer 1

[Сергей Горностаев]

Лучше всего и авторизацию тоже доверить контейнеру.

Comments

[oberontrik]

Каким образом?

[Сергей Горностаев]

oberontrik, Tomcat можно настроить так, чтобы он запрашивал http- или form-аутентификацию, а полученные имя пользователя и пароль сверял с данными из БД.

[oberontrik]

Сергей Горностаев, а если мне все же нужно реализовать свою логику при авторизации (дополнительные проверки или действия), то какой из двух вариантов лучше выбрать?

• Сделать авторизацию статической.
  
• Вынести авторизацию в отдельный класс. Создавать объект этого класса в каждом servlet'e требующем авторизацию в методе init(). В свою очередь, в этом объекте, в конструкторе получать соединение с базой данных и т.д.
  

[Сергей Горностаев]

oberontrik, в вопросах архитектуры нет серебряной пули. Под каждое приложение надо выбирать своё решение.

[Alex XYZ]

oberontrik, >> а если мне все же нужно реализовать свою логику при авторизации
Тогда пишете фильтр. В фильтре проверяете, если пользователь авторизован, то выполняете эти дополнительные действия. Да, фильтр пишется в отдельном классе, как написал Евгений.

Answer 2

[Евгений]

Если нужно прям все самому сделать, то можно реализовать свой фильтр (реализовав интерфейс javax.servlet.Filter), в котором пытаться понять, авторизован пользователь или нет. Такой фильтр надо прописать в web.xml в виде

<filter>
		<filter-name>requestInterceptor</filter-name>
		<filter-class>com.example.RequestInterceptorFilter</filter-class>
</filter>

Такой фильтр будет перехватывать абсолютно все http запросы.

Answer 3

[Михаил]

Выше написано, если хотите более широкое использование авторизации , то можно еще посмотреть
https://shiro.apache.org/