快取安全內容 caching-secured-content

權限敏感型快取可讓您快取安全頁面。Dispatcher 在傳遞快取頁面之前會檢查使用者對頁面的存取權限。

Dispatcher 包含的 AuthChecker 模組會實作權限敏感型快取。在啟用此模組時，Dispatcher 會呼叫 AEM servlet 來針對請求的內容執行使用者驗證和授權。此 servlet 回應會決定是否從快取中將內容傳遞給網頁瀏覽器。

由於驗證和授權的方法為 AEM 部署所特有，所以您需要建立此 servlet。

下圖說明當網頁瀏覽器請求使用了權限敏感型快取的頁面時，發生的事件順序。

快取頁面並授權使用者 page-is-cached-and-user-is-authorized

不快取頁面，但會授權使用者 page-is-not-cached-and-user-is-authorized

使用者未獲得授權 user-is-not-authorized

實作權限敏感型快取 implementing-permission-sensitive-caching

若要實作權限敏感型快取，請執行以下工作：

建立 Auth Checker servlet create-the-auth-checker-servlet

建立並部署一個 servlet 來針對請求網頁內容的使用者執行驗證和授權工作。此 servlet 可使用任何驗證方法。也可以使用任何授權方法。例如，可以使用 AEM 使用者帳戶和存放庫 ACL。或者，可以使用 LDAP 查詢服務。您將此 servlet 部署到 Dispatcher 當作轉譯器使用的 AEM 執行個體。

此 servlet 必須可供所有使用者存取。因此，您的 servlet 應該擴充 org.apache.sling.api.servlets.SlingSafeMethodsServlet 類別，以提供對系統的唯讀存取權。

此 servlet 只會從轉譯器接收 HEAD 請求，所以您只必須實作 doHead 方法。

轉譯器包含請求的資源的 URI 以當作 HTTP 請求的參數。例如，授權 servlet 是透過 /bin/permissioncheck 進行存取。為了在 /content/geometrixx-outdoors/en.html 頁面上執行安全性檢查，轉譯器在 HTTP 請求中包含以下 URL：

/bin/permissioncheck?uri=/content/geometrixx-outdoors/en.html

servlet 回應訊息必須包含以下 HTTP 狀態代碼：

以下範例 servlet 會從 HTTP 請求中取得請求的資源的 URL。程式碼會使用 Felix SCR Property 註解，將 sling.servlet.paths 屬性的值設為 /bin/permissioncheck。在 doHead 方法中，此 servlet 取得工作階段物件，並使用 checkPermission 方法來判斷合適的回應代碼。

範例 servlet example-servlet

package com.adobe.example;

import org.apache.felix.scr.annotations.Component;
import org.apache.felix.scr.annotations.Service;
import org.apache.felix.scr.annotations.Property;

import org.apache.sling.api.SlingHttpServletRequest;
import org.apache.sling.api.SlingHttpServletResponse;
import org.apache.sling.api.servlets.SlingSafeMethodsServlet;

import org.slf4j.Logger;
import org.slf4j.LoggerFactory;

import javax.jcr.Session;

@Component(metatype=false)
@Service
public class AuthcheckerServlet extends SlingSafeMethodsServlet {

    @Property(value="/bin/permissioncheck")
    static final String SERVLET_PATH="sling.servlet.paths";

    private Logger logger = LoggerFactory.getLogger(this.getClass());

    public void doHead(SlingHttpServletRequest request, SlingHttpServletResponse response) {
     try{
      //retrieve the requested URL
      String uri = request.getParameter("uri");
      //obtain the session from the request
      Session session = request.getResourceResolver().adaptTo(javax.jcr.Session.class);
      //perform the permissions check
      try {
       session.checkPermission(uri, Session.ACTION_READ);
       logger.info("authchecker says OK");
       response.setStatus(SlingHttpServletResponse.SC_OK);
      } catch(Exception e) {
       logger.info("authchecker says READ access DENIED!");
       response.setStatus(SlingHttpServletResponse.SC_FORBIDDEN);
      }
     }catch(Exception e){
      logger.error("authchecker servlet exception: " + e.getMessage());
     }
    }
}

設定 Dispatcher 使用權限敏感型快取 configure-dispatcher-for-permission-sensitive-caching

dispatcher.any 檔案的 auth_checker 區段會控制權限敏感型快取的行為。auth_checker 區段包含以下子區段：

當 Dispatcher 啟動時，Dispatcher 記錄檔會包含以下偵錯層級的訊息：

AuthChecker: initialized with URL 'configured_url'.

以下範例的 auth_checker 區段會設定 Dispatcher 使用前一個主題中的 servlet。篩選區段會讓權限檢查工作僅針對安全 HTML 資源來執行。

設定範例 example-configuration

/auth_checker
  {
  # request is sent to this URL with '?uri=<page>' appended
  /url "/bin/permissioncheck"

  # only the requested pages matching the filter section below are checked,
  # all other pages get delivered unchecked
  /filter
    {
    /0000
      {
      /glob "*"
      /type "deny"
      }
    /0001
      {
      /glob "/content/secure/*.html"
      /type "allow"
      }
    }
  # any header line returned from the auth_checker's HEAD request matching
  # the section below will be returned as well
  /headers
    {
    /0000
      {
      /glob "*"
      /type "deny"
      }
    /0001
      {
      /glob "Set-Cookie:*"
      /type "allow"
      }
    }
  }