JSP/Servletでサーブレットフィルターを使用したログイン認証プログラム　

サーブレットフィルターとは

Servletの前後に処理を挟むための機能を提供するクラス
⇒ ログイン認証や文字化け防止など
Filterをimplementsする
@WebFilter() アノテーションで、対応するURLを指定できる

FilterServletプロジェクト

FilterServletプロジェクト 内に以下のプログラムを作成。

ID は「jsp」パスワードは「servlet」と設定。
IDとパスワードの 判定は「 LoginService 」プログラムにておこなう。

正しいIDとパスワードの入力があれば会員専用ページへ。
入力なし、入力間違いそれぞれのエラーメッセージを表示。
パスワードは●●で表示されるが「表示」ボタン押下でテキスト表示されるscriptプログラムを追加。
会員専用ページURLで直接ページへ飛べないようにサーブレットフィルターによってログイン済か否かのチェックをおこなうプログラムを作成した。

controllerパッケージ
クラス名	URL	メソッド	jsp	内容
IndexServlet	/index	doGet	index.jsp	ログインしたユーザーの専用ページ
LoginServlet	/login	doGet doPost	login.jsp
LogoutServlet	/logout	doGet		indexへリダイレクト
serviceパッケージ
LoginService	正しいIDとパスワードか判定
filterパッケージ
AuthFilter	対応URL:  /*			ログイン済みか判定 ⇒ していない場合、loginにリダイレクト
viewフォルダ	jspファイル
WEB-INF/view	index.jsp
	login.jsp

各ファイルの役割

IndexServlet
「index.jsp」を表示する役割。
「index.jsp」 はログインしているユーザーしか訪れることができない画面。
IndexServlet 自体にログイン済か否かを記述することもできる。
今回はfilterを用意しログイン状態の判断をおこなう。firterでログイン済と判断された場合に IndexServlet にリクエストが渡る。

LoginServlet
・ログインIDとパスワード を入力してログインボタンを押した際に
・ログインIDとパスワードが入力されているか（未入力か否か）のチェック。
・入力されている場合➡ LoginService を使って正しい組み合わせかどうかのチェック。
・問題がなければ index.jsp へ遷移（リダイレクト）する。
・問題があれば再度ログインフォームに戻る。

AuthFilter
indexServlet にリクエストが届く前にフィルターでログインしているか否かをチェックしてログインしていない場合はURLを変更する「リダイレクト」という処理をおこなう。

.jspファイルでJSTLを利用するため、WEB-INF/lib フォルダの中にjarファイルをコピーしておきます。

IndexServlet

1. package controller;
3. import java.io.IOException;
5. import javax.servlet.ServletException;
6. import javax.servlet.annotation.WebServlet;
7. import javax.servlet.http.HttpServlet;
8. import javax.servlet.http.HttpServletRequest;
9. import javax.servlet.http.HttpServletResponse;
10. /**
11. *Servlet implementation class IndexServlet
12. */
13. @WebServlet(“/index”)
14. public class IndexServlet extends HttpServlet {
15. private static final long serialVersionUID = 1L;
16. /**
17. *@see HttpServlet#doGet(HttpServletRequest request, HttpServletResponse response)
18. */
19. protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
20. request.getRequestDispatcher(“/WEB-INF/view/index.jsp”).forward(request, response);
21. }
22. }

LoginServlet

1. package controller;
3. import java.io.IOException;
5. import javax.servlet.ServletException;
6. import javax.servlet.annotation.WebServlet;
7. import javax.servlet.http.HttpServlet;
8. import javax.servlet.http.HttpServletRequest;
9. import javax.servlet.http.HttpServletResponse;import service.LoginService;
11. /**
12. *Servlet implementation class LoginServlet
13. */
14. @WebServlet(“/login”)
15. public class LoginServlet extends HttpServlet {
16. private static final long serialVersionUID = 1L;
18. /**
19. *@see HttpServlet#doGet(HttpServletRequest request, HttpServletResponse response)
20. */
21. protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
22. request.getRequestDispatcher(“/WEB-INF/view/login.jsp”).forward(request, response);
23. }
25. /**
26. *@see HttpServlet#doPost(HttpServletRequest request, HttpServletResponse response)
27. */
28. protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
29. // 入力値の取得
30. String id = request.getParameter(“id”);
31. String pass = request.getParameter(“pass”);
32. // 入力チェック
33. boolean isValidated = true;
34. String error = “”;
35. if(id.isBlank() || pass.isBlank()) {
36. isValidated = false;
37. error = “未入力です”;
38. }
40. // 正しいID・パスワードかチェック
41. if(isValidated && new LoginService().checkIdAndPass(id, pass) == false) {
42. isValidated = false;
43. error = “不正なIDパスワードです”;
44. }
46. if(isValidated) {
47. // ログイン済みの証明
48. request.getSession().setAttribute(“id”, id);
49. response.sendRedirect(“index”);
50. }
51. else {
52. request.setAttribute(“error”, error);
53. request.getRequestDispatcher(“/WEB-INF/view/login.jsp”).forward(request, response);
54. }
55. }
56. }

LoginServlet の解説

29. // 入力値の取得
30. String id = request.getParameter(“id”);
31. String pass = request.getParameter(“pass”);

入力値の取得は request.getParameter メソッドでおこないます。（”ｉｄ”）と（”ｐａｓｓ”）と引き数を指定することでlogin.jspで指定したname=”id” name=”pass”と紐づきます。　
login.jsp から取得した “id” と “pass” を String 型の変数に格納します。

32. // 入力チェック
33. boolean isValidated = true;
34. String error = “”;
35. if(id.isBlank() || pass.isBlank()) {
36. isValidated = false;
37. error = “未入力です”;

入力に問題があるか否かを判断する boolean 型の変数を用意します。
boolean 型の isValidated という変数にあらかじめ true を入れておき,入力値チェックの if 文でひっかかったらこの isValidated が false になるという仕組みにします。
if 文 の中身は .isBlank() で中身が未入力であるということを示します。 .isBlank() をつかってidとpassの中身の有無を判定します。
この if 文 にひっかかった場合（未入力ではなかった場合） isValidated を false にします。

String error = “”;
で String 型の error 変数を用意し、入力がされていない場合は「未入力です」と表示されるようにします。

40. // 正しいID・パスワードかチェック
41. if (isValidated && new LoginService().checkIdAndPass(id, pass) == false) {
42. isValidated = false;
43. error = “不正なIDパスワードです”;
44. }

isValidated が true であるかどうかの判定をします。

この時点で「未入力」である場合（ false ）はこの if 文の中には入らず「未入力です」が表示できます。

isValidated && を記述しないと未入力の場合もこの if 文の中に入ってしまいます。

new LoginService().checkIdAndPass(id, pass)
で LoginService クラスをインスタンス化して checkIdAndPass メソッドの引数を受け取ります。LoginService クラスからはIDとパスワードが不正解の場合に false が返されるので == false とします。
そして isValidated 変数の中に false を代入します。
そしてエラーメッセージに「不正な ID かパスワードです」と表示されるようにします。

46. if (isValidated) {
47. // ログイン済みの証明
48. request.getSession().setAttribute(“id”, id);
49. response.sendRedirect(“index”);
50. } else {
51. request.setAttribute(“error”, error);
52. request.getRequestDispatcher(“/WEB-INF/view/login.jsp”).forward(request, response);

会員専用ページに進むにあたって自分がログイン済であることを証明する必要があります。ログイン済である証を持ってindex.jsp へと進むために証を用意します。

request.getSession().setAttribute(“id”, id);
request.getSession()でセッションを取得して第一引数（セッションに預けるときの名前）に “id” 第二引き数に実際に預けたいデータの id を記述します。今回は jsp というデータを預けます。

１つめの if 文で「未入力か否か」を判定し、２つめの if 文で ID とパスワードの判定をおこないました。その２つの if 文から抜けてきた isValidated の中身は true のままとなります。その場合はリダイレクトの処理が実行され index.jsp へと遷移します。

else以降
LoginServlet で設定された変数 error を login.jsp でも利用できるように
request.setAttribute(“error”, error);
でセットします。

そしてそれ以外の場合（なんらかのエラーがあった場合）はエラーメッセージを表示して再度 login.jsp へと遷移します。

ＭＶＣの利用

LoginServlet にリクエストが送られてきます。 LoginServlet は全ての処理が終わってから画面表示のみを login.jsp に依頼することもできますが負担の軽減を図るために処理の一部を他のクラスに依頼することがあります。今回は LoginService というクラスを作って正しいＩＤとパスワードの組み合わせかどうかのチェックを依頼します。そして LoginServlet の方ではその結果のみを受け取るかたちにします。 LoginService クラスはデータベースと連携してその中にＩＤとパスワード が入っているかを判定する役割を持ちます。
このようにリクエストを受け取るcontrollerを「Ｃ」表示を担当するviewを「Ｖ」それ以外のmodelを「Ｍ」とする役割分担の仕組みをＭＶＣといいます。

LogoutServlet

1. package controller;
3. import java.io.IOException;
5. import javax.servlet.ServletException;
6. import javax.servlet.annotation.WebServlet;
7. import javax.servlet.http.HttpServlet;
8. import javax.servlet.http.HttpServletRequest;
9. import javax.servlet.http.HttpServletResponse;
11. /**Servlet implementation class LogoutServlet
12. */
13. @WebServlet(“/logout”)
14. public class LogoutServlet extends HttpServlet {
15. private static final long serialVersionUID = 1L; /**
16. *@see HttpServlet#doGet(HttpServletRequest request, HttpServletResponse response)
17. */
18. protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
19. request.getSession().removeAttribute(“id”);
20. response.sendRedirect(“login”);
21. }
22. }

LogoutServletコード解説

セッションに格納された loginＩＤ の情報を削除することが LogoutServlet の処理内容になります。

19. request.getSession().removeAttribute(“id”);
20. response.sendRedirect(“login”);

情報の破棄のしかたは２種類あります。
inbalidate
全ての情報を破棄する
removeAttribute
個別に破棄する
“id” の中の情報が破棄されたら login へリダイレクトします。

LoginService

1. package service;
3. public class LoginService {
5. public boolean checkIdAndPass(String id, String pass) {
6. if(id.equals(“jsp”) && pass.equals(“servlet”)) {
7. return true;
8. }
9. else {
10. return false;
11. }
12. }
13. }

LoginServiceコード解説

1. public boolean checkIdAndPass(String id, String pass) {
2. if(id.equals(“jsp”) && pass.equals(“servlet”)) {
3. return true;
4. }

checkIdAndPass メソッドを用意します。
引数は文字列型の id と pass にし、戻り値は boolean 型とします。

このメソッドの中で if 文を使って判定をおこないます。
id.equals(“jsp”) && pass.equals(“servlet”)
id が “jsp”でかつ pass が”servlet” の場合に true を返します。
そしてそれ以外の場合に false を返します。

AuthFilter

サーブレットフィルタの作成

Eclipseでは「新規」➡「フィルター」でサーブレットフィルターを作成します。

1. package filter;
3. import java.io.IOException;
5. import javax.servlet.Filter;
6. import javax.servlet.FilterChain;
7. import javax.servlet.FilterConfig;
8. import javax.servlet.ServletException;
9. import javax.servlet.ServletRequest;
10. import javax.servlet.ServletResponse;
11. import javax.servlet.annotation.WebFilter;
12. import javax.servlet.http.HttpServletRequest;
13. import javax.servlet.http.HttpServletResponse;
15. /**
16. *Servlet Filter implementation class AuthFilter
17. */
18. @WebFilter(“/*”)
19. public class AuthFilter implements Filter {
20. /**
21. *Default constructor.
22. */
23. public AuthFilter() {
24. // TODO Auto-generated constructor stub
25. }
26. /**
27. *@see Filter#destroy()
28. */
29. public void destroy() {
30. // TODO Auto-generated method stub
31. }
32. /**
33. *@see Filter#doFilter(ServletRequest, ServletResponse, FilterChain)
34. */
35. public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
37. // キャストによってHttpServletRequestとHttpServletResponseを取得
38. var req = (HttpServletRequest) request;
39. var res = (HttpServletResponse) response;
41. String path = req.getServletPath();
42. System.out.println(path);
44. if(!path.equals(“/login”) &&
45. !path.startsWith(“/css”)) {
46. var obj = req.getSession().getAttribute(“id”);
47. if(obj == null) {
48. res.sendRedirect(“login”);
49. return;
50. }
51. }
53. // pass the request along the filter chain
54. chain.doFilter(request, response);
55. }
56. /**
57. *@see Filter#init(FilterConfig)
58. */
59. public void init(FilterConfig fConfig) throws ServletException {
60. // TODO Auto-generated method stub
61. }
62. }

AuthFilterコード解説

18. @WebFilter(“/*”)

「/*」 でこのフィルターが全てのURLに対して有効になるようにします。
（{ “/index”, “/about”}）←のように対応させたいものを記述しても可です。

37. // キャストによってHttpServletRequestとHttpServletResponseを取得
38. var req = (HttpServletRequest) request;
39. var res = (HttpServletResponse) response;

doFilterメソッドの戻り値は「ServletRequest」型になっています。
Servlet ではdoGetやdoPostのリクエストの引数が「HttpServletRequest」型になっているので「HttpServletRequest」型へのキャストが必要になります。
サーブレットの引数と同じ型にキャストすることによって
変数 req を使って getSession することができ
変数 res を使って sendRedirect ができるようになります。

41. String path = req.getServletPath();
42. System.out.println(path);
43. if(!path.equals(“/login”) &&
44. !path.startsWith(“/css”)) {

@WebFilter(“/*”)
で全てのURLに対応しているので除外したいURLの情報を得るためにString 型の変数 path に個別にURL情報を取得して代入します。

44. if(!path.equals(“/login”) &&
45. !path.startsWith(“/css”)) {

URLがloginと「.startsWith」でcssで始まる場合に「！」でリダイレクトの処理をしないとなります。

URL情報の取得

URL情報の取得
ｈｔｔｐ://localhost:8080①/MySystem②/MyServlet③/foo?④a=1&b=2

① コンテキストパスの取得：request.getContextPath()
② サーブレットパスの取得：request.getServletPath()
③ 拡張パス情報の取得：request.getPathInfo()
④ クエリ文字列の取得：request.getQueryString()

今回は②の情報を取得したいので「getServletPath()」を利用します。

46. var obj = req.getSession().getAttribute(“id”);

セッションスコープに格納されている ” id ” を参照します。
戻り値はオブジェクト型となります。
（「jsp」 が入力されているかどうかを確認します）

47. if(obj == null) {
48. res.sendRedirect(“login”);
49. return;
50. }

obj == null はセッションの中に証明となる ” id ” が入っていない➡ログインしていない状態となります。
したがって null の場合は
res.sendRedirect(“login”)
で強制的にURLを ” login ” に変更します。
return
で処理を中断します。

index.jsp

1. <%@ page pageEncoding=”UTF-8″%>
2. <%@ taglib prefix=”c” uri=”http://java.sun.com/jsp/jstl/core” %>
3. <%@ taglib prefix=”fmt” uri=”http://java.sun.com/jsp/jstl/fmt” %>
4. ＜ｈｅａｄの内容＞
5. ＜ｂｏｄｙ＞
6. ＜ｈ１＞ようこそ＜c:out value=”${id}” /＞さん＜／ｈ１＞
8. ＜ｐ＞＜ａ　ｈｒｅｆ＝”ｌｏｇｏｕｔ”＞ログアウト＜／ａ＞＜／ｐ＞
9. ＜／ｂｏｄｙ＞
10. ＜／ｈｔｍｌ＞

index.jspコード解説

6. ＜ｈ１＞ようこそ＜c:out value=”${id}” /＞さん＜／ｈ１＞

＜ｐ＞ようこそゲストさん＜ｐ＞
を
＜ｐ＞ようこそ＜c:out value=” ${ id }” /＞さん＜ｐ＞
と記述することで入力したIDを表示させることができます。

login.jsp

1. <%@ page pageEncoding=”UTF-8″%>
2. <%@ taglib prefix=”c” uri=”http://java.sun.com/jsp/jstl/core” %>
3. <%@ taglib prefix=”fmt” uri=”http://java.sun.com/jsp/jstl/fmt” %>
4. ＜ｈｅａｄの内容＞
5. ＜ｂｏｄｙ＞
6. ＜c:if test=”${!empty error}”＞
7. ＜ｐ style=”color:red;”＞＜c:out value=”${error}” /＞＜ｐ＞
8. ＜/c:if＞
10. ＜ｆｏｒｍ　ａｃｔｉｏｎ＝”” ｍｅｔｈｏｄ＝”ｐｏｓｔ”＞
11. ＜ｐ＞ログインID
12. ＜ｉｎｐｕｔ ｔｙｐｅ＝”ｔｅｘｔ” ｎａｍｅ＝”ｉｄ”＞
13. ＜／ｐ＞
14. ＜ｐ＞パスワード
15. ＜ｉｎｐｕｔ ｔｙｐｅ＝”ｐａｓｓｗｏｒｄ” ｎａｍｅ＝”ｐａｓｓ”＞
16. ＜ｂｕｔｔｏｎ id=”show”＞表示＜／ｂｕｔｔｏｎ＞
17. ＜／ｐ＞
18. ＜／ｆｏｒｍ＞
19. ＜ｉｎｐｕｔ ｔｙｐｅ＝”ｓｕｂｍｉｔ” value＝”ログイン”＞
20. ＜／ｆｏｒｍ＞
22. ＜ｓｃｒｉｐｔ
23. ｓｒｃ＝”https://code.jquery.com/jquery-3.6.0.min.js”
24. ｉｎｔｅｇｒｉｔｙ＝”sha256-/xUj+3OJU5yExlq6GSYGSHk7tPXikynS7ogEvDej/m4=”
25. crossorigin=”anonymous”>＜／ｓｃｒｉｐｔ＞
26. ＜ｓｃｒｉｐｔ＞
27. ＄(document).ready(function(){
28. ＄(“#show”).click(function(){
29. ｉｆ($(this).text() === “表示”) {
30. ＄(this).prev().attr(“type”, “text”);
31. ＄(this).text(“非表示”);
32. }
33. else {
34. ＄(this).prev().attr(“type”, “password”);
35. ＄(this).text(“表示”);
36. }
37. // 送信を防ぐ
38. return false;
39. });//click
40. });//ready
41. ＜／ｂｏｄｙ＞
42. ＜／ｈｔｍｌ＞

login.jsp コード解説

6. ＜c:if test=”${!empty error}”＞
7. ＜ｐ＞＜c:out value=”${error}” /＞＜ｐ＞
8. ＜/c:if＞

＜c:if test=”${!empty error}”＞の中の
${!empty error}
でエラーメッセージがある場合は……となります。
エラーメッセージがある場合は＜ｐ＞の中でエラーメッセージを表示させます。
＜c:out value=”error”／＞
⇑　errorを表示する。

22行目以降のjQueryプログラムでボタンをクリックした際のパスワードテキストの表示／非表示が設定されています。