Sikring af login sider

Koden er forkert !

Du skal gemme attributten i session ikke i request !!

Altså:

(Boolean)request.getSession().getAttribute("LoggedIn")

og:

request.getSession().setAttribute("LoggedIn",new Boolean(true))

Du har iøvrigt mulighed for at lade serveren checke adgangen
i.s.f. din kode.

Når jeg prøver at sætte det ind får jeg bare fejlen:
Note: sun.tools.javac.Main has been deprecated.
/login2/login.jsp:46: Invalid type expression.
    (Boolean)request.getSession().getAttribute("LoggedIn") //s\u00e5 kan du
    ^
fra andre sider se om brugeren er logget ind
   
/login2/login.jsp:47: Invalid declaration.
    response.sendRedirect("up2load.jsp"); //send brugeren videre til en ny side
                        ^

Lyder lidt mystisk.

Når det er JSP behøver du iøvrigt ikke bruge requuest.getSession(), men kan
bare bruge session.

Her er et stykkke grimt JSP som illusterer lidt hvad man kan (og det virker):

<%@page import="java.util.*"%>
<%
if((session == null) || (session.getAttribute("username") == null)) {
    String username = request.getParameter("username");
    String password = request.getParameter("password");
    if((username!=null)&&(password!=null)) {
        if((username.equals("arne")&&password.equals("arne"))||(username.equals("system")&&password.equals("system"))) {
            session.setAttribute("username", username);
            %>
            Press reload.
            <%
        } else {
            %>
            Invalid username/password.
            <%
            return;
        }
    } else {
      %>
      <form action="secure.jsp" method="GET">
      Username: <input type="text" name="username"><br>
      Password: <input type="text" name="password"><br>
      <input type="submit" value="Login">
      </form>
      <%
      return;
    }
} else {
    if(session.getAttribute("username").equals("system")) {
        %>
        <%=(new Date())%>
        <%
        return;
    } else {
        %>
        No access.
        <%
        return;
    }
}
%>

Jeg har også den her variant som verificerer username/password mod en database:

<%@page import="java.sql.*"%>
<%
if((session == null) || (session.getAttribute("username") == null)) {
    String username = request.getParameter("username");
    String password = request.getParameter("password");
    if((username!=null)&&(password!=null)) {
        Class.forName("sun.jdbc.odbc.JdbcOdbcDriver");
        Connection conn = DriverManager.getConnection("jdbc:odbc:TestMSAccess", "", "");
        Statement stmt = conn.createStatement();
        ResultSet rs = stmt.executeQuery("SELECT password FROM Tomcat_users WHERE username='" + username + "'");
        if(rs.next() && rs.getString(1).equals(password)) {
            session.setAttribute("username", username);
            response.sendRedirect("secure2.jsp");
            return;
        } else {
            %>
            Invalid username/password.
            <%
            return;
        }
    } else {
      %>
      <form action="secure2.jsp" method="GET">
      Username: <input type="text" name="username"><br>
      Password: <input type="text" name="password"><br>
      <input type="submit" value="Login">
      </form>
      <%
      return;
    }
} else {
    if(session.getAttribute("username").equals("system")) {
        %>
        <strong>It works !!!!</strong>
        <%
        return;
    } else {
        %>
        No access.
        <%
        return;
    }
}
%>

Min kode ser sådan ud:

<%@ page import="java.sql.*" %>
<%@ page import="java.util.*" %>

<%! ResultSet rs = null;%>
<%! ResultSet rs1 = null;%>
<%! ResultSet rs2 = null;%>
<%
        Class.forName("org.gjt.mm.mysql.Driver");
        Connection db = DriverManager.getConnection("jdbc:mysql://localhost:3306/login");
        Statement s = db.createStatement();
        rs = s.executeQuery("select id, pass from sos");
       
       
        Class.forName("org.gjt.mm.mysql.Driver");
        Connection db1 = DriverManager.getConnection("jdbc:mysql://localhost:3306/login");
        Statement s1 = db1.createStatement();
        rs1 = s1.executeQuery("select id2, pass2 from post");
        db1.close();
       
        Class.forName("org.gjt.mm.mysql.Driver");
        Connection db2 = DriverManager.getConnection("jdbc:mysql://localhost:3306/login");
        Statement s2 = db2.createStatement();
        rs2 = s2.executeQuery("select id3, pass3 from admin");
        db2.close();
%>
<%
  String username=request.getParameter("username");
  String password=request.getParameter("password");
  String id=(rs.getString(1));
  String pass=(rs.getString(2));
  String id2=(rs1.getString(1));
  String pass2=(rs1.getString(2));
  String id3=(rs2.getString(1));
  String pass3=(rs2.getString(2));
%>

<%
  if((username.equals(id)&&password.equals(pass))||(username.equals(id2)&&password.equals(pass2))) {
    (Boolean)request.getSession().getAttribute("LoggedIn"); //så kan du fra andre sider se om brugeren er logget ind
    response.sendRedirect("up2load.jsp"); //send brugeren videre til en ny side
} else {
} if((username.equals(id3)&&password.equals(pass3))) {
    (Boolean)request.getSession().getAttribute("LoggedIn") //så kan du fra andre sider se om brugeren er logget ind
    response.sendRedirect("admin.jsp"); //send brugeren videre til en ny side
} else {
response.sendRedirect("fejl.jsp");

}
%>

Jaja, med visse fejl, men den virker.

Når jeg kører den får jeg følgende fejl:

Note: sun.tools.javac.Main has been deprecated.
/login2/login.jsp:39: Invalid expression statement.
    (Boolean)request.getSession().getAttribute("LoggedIn"); //s\u00e5 kan du fra andre sider se om brugeren er logget ind
    ^
1 error, 1 warning

Hovsa, der skal stå  db.close();    efter den første forbindelse til databasen...

Du kan sagtens bruge den samme connection og den samme statement til
flere SQL sætninger.

Ja - det er faktisk anbefalelsesværdigt.

Nå men det har jo ikke noget med dit problem at gøre.

Jeg er godt klar over det, og har da også eksperimenteret lidt med det...

Der mangler et semilkolon efter:

(Boolean)request.getSession().getAttribute("LoggedIn")

og det er nok årsagen til din fejl !

Jeg har iøvrig en mistanke om at du ikke mener:

(Boolean)request.getSession().getAttribute("LoggedIn") ;

men:

request.getSession().setAttribute("LoggedIn",new Boolean(true)) ;

Skal der stå request.getSession().setAttribute("LoggedIn",new Boolean(true)) ;
i stedet for (Boolean)request.getSession().getAttribute("LoggedIn") ; ?

Sådan som jeg har det nu, står (Boolean)request..... på den side der skal give adgangen, og request.getSession()..... står på den side man logger ind på.

request.getSession().setAttribute("LoggedIn",new Boolean(true))

sætter en attribut "LoggedIn" til værdien true i sessionen.

(Boolean)request.getSession().getAttribute("LoggedIn")

henter en attribut "LoggedIn" fra sessionen (og gør ikke noget med den).

jamen så bytter jeg da lige om på dem... Det kunne godt være at det ville hjælpe...

er der nogen bestemt klasse jeg skal kalde for at få (Boolean) til at virke?

Til at virke ?

Mener du til at bruge den ?

if(((Boolean)request.getSession().getAttribute("LoggedIn")).booleanValue()) {
...
}

jep, så virker det... Nu hvor vi er ved det kunne du så fortælle mig lidt omkring det med connection pool, eller er det bedre at oprette et nyt spørgsmål? Jeg skal nok give flere point.

Jeg kan godt fortælle lidt om connection pool.

Hvilken server bruger du ?

Jeg bruger Resin og MySQL

Stort set alt du skal bruge står her:
  http://www.caucho.com/resin/ref/db-config.xtp

Jeg har ændret driver name og url'en på min database i resin.conf, men når jeg prøver at bruge det eksempel de bringer på siden, får jeg en fejl:

java.lang.NullPointerException
    at _test1__jsp._jspService(/login2/test1.jsp:13)
    at com.caucho.jsp.JavaPage.service(JavaPage.java:75)
    at com.caucho.jsp.Page.subservice(Page.java:497)
    at com.caucho.server.http.FilterChainPage.doFilter(FilterChainPage.java:182)
    at com.caucho.server.http.Invocation.service(Invocation.java:315)
    at com.caucho.server.http.CacheInvocation.service(CacheInvocation.java:135)
    at com.caucho.server.http.HttpRequest.handleRequest(HttpRequest.java:246)
    at com.caucho.server.http.HttpRequest.handleConnection(HttpRequest.java:163)
    at com.caucho.server.TcpConnection.run(TcpConnection.java:139)
    at java.lang.Thread.run(Thread.java:536)

Nå.. jeg fandt ud af det. Jeg ændrede lidt i min resin.conf, der var en lille fejl mht. hvilken database den skulle bruge.

Jeg har nu prøvet at kalde flere tabeller gennem den samme forbindelse, men den opfører sig mærkeligt. Nogle gange virker den, andre gange ikke. Nogle gange virker det hvis jeg opdaterer siden med fejlen på.

Hvilken fejl får du ?

java.lang.NullPointerException
    at _login__jsp._jspService(/login2/login.jsp:10)
    at com.caucho.jsp.JavaPage.service(JavaPage.java:75)
    at com.caucho.jsp.Page.subservice(Page.java:497)
    at com.caucho.server.http.FilterChainPage.doFilter(FilterChainPage.java:182)
    at com.caucho.server.http.Invocation.service(Invocation.java:315)
    at com.caucho.server.http.CacheInvocation.service(CacheInvocation.java:135)
    at com.caucho.server.http.HttpRequest.handleRequest(HttpRequest.java:246)
    at com.caucho.server.http.HttpRequest.handleConnection(HttpRequest.java:163)
    at com.caucho.server.TcpConnection.run(TcpConnection.java:139)
    at java.lang.Thread.run(Thread.java:536)

Må jeg se lidt kode igen ?

Jep. Jeg har lige hurtigt lavet en anden side der bare henter nogle værdier i databasen, og viser dem på skærmen, og den virker helt fint. En anden ting er at det ikke er når jeg opdaterer at jeg kommer ind på siden, men når jeg trykker enter (altså trykker i adr. linien, og så på enter). Det er ikke sikkert at det er en fejl i pool... Her kommer koden.

<%@ page import='java.sql.*, javax.sql.*, javax.naming.*, java.util.*' %>

<%
Context ic = new InitialContext();
DataSource ds = (DataSource) ic.lookup("java:comp/env/jdbc/test");

Connection conn = ds.getConnection();

try {
  Statement s = conn.createStatement();
  ResultSet rs = s.executeQuery("SELECT id, pass FROM sos");
  Statement s1 = conn.createStatement();
  ResultSet rs1 = s1.executeQuery("SELECT id2, pass2 FROM post");
  Statement s2 = conn.createStatement();
  ResultSet rs2 = s2.executeQuery("select id3, pass3 from admin");

  %><h2>Brooms:</h2><%
    while (rs.next()) { %>
<%= rs.getString(1) %> <%= rs.getString(2) %><br><%
  }

} finally {
  conn.close();
}
%>
<%
  String username=request.getParameter("username");
  String password=request.getParameter("password");
  String id=(rs.getString(1));
  String pass=(rs.getString(2));
  String id2=(rs1.getString(1));
  String pass2=(rs1.getString(2));
  String id3=(rs2.getString(1));
  String pass3=(rs2.getString(2));
%>

<%
  if((username.equals(id)&&password.equals(pass))||(username.equals(id2)&&password.equals(pass2))) {
    request.getSession().setAttribute("LoggedIn",new Boolean(true));
    response.sendRedirect("up2load.jsp"); //send brugeren videre til en ny side
} else {
} if((username.equals(id3)&&password.equals(pass3))) {
    request.getSession().setAttribute("LoggedInAdmin",new Boolean(true));
    response.sendRedirect("admin.jsp"); //send brugeren videre til en ny side
} else {
response.sendRedirect("fejl.jsp");

}
%>

Du kan godt genbruge det samme statement til flere SQL sætninger.

Men jeg tror at din fejl skyldes at du bruger ResultSet's efter
at du har closed Connection.

Det duer ikke.

Du skal først close connection når du er færdig med at bruge databasen.

Jeg fjernede ResultSet, og definerede derefter rs til:
<%! ResultSet rs = null;%>
<%! ResultSet rs1 = null;%>
<%! ResultSet rs2 = null;%>

Så stoppede problemerne... Så må du hellere få dine point. Hvor mange vil du have?

Det er vel op til dig at afgøre.

Tja, så får du 60.

Hvis du vil have mig undskyldt! Jeg må trække mig tilbage nu. Vigtige opgaver ligger forude...
Tak for hjælpen ;-)