Liferay 6.1 从CE 迁移到 EE版本的一个棘手的问题(1)

这个问题困扰我2天了，目前还没解决：主要是我们吧一个项目从Community Edition迁移到Enterprise Edition,我们前端是Extjs发送一个Ajax请求到Portal层的一个方法叫MachinePortlet，本来，在CE上面，无论是Admin用户还是非Admin用户，都没问题。迁移到Enterprise Edition时，只有Admin用户可以正确的访问，而对于非Admin用户，请求无论如何都无法到达MachinaPortlet的serveResource()方法，根本没调用。我想了十来种方法，没有一种解决问题。我觉得，应该和我们的license有很大关系，刚好吃过饭，我可以安心在家反思这个问题，刚好明天可以验证，可惜明天要准备去US的签证，估计也就半天空闲时间。郁闷。

 

其实问题的关键，在于这个页面上的<portlet:resourceURL id=..>是如何关联到portlet的serveResource()方法上的，因为我怀疑这个过程中涉及到有关安全的问题，所以非Admin的用户不给我转发（奇怪的是Community Edition不存在这个问题）。下面我对其进行了一些深入研究：

 

首当其冲的，当然是resourceURL这个标记了，很容易找到其定义：

<tag> 
        <name>resourceURL</name> 
        <tag-class>com.liferay.taglib.portlet.ResourceURLTag</tag-class> 
        <tei-class>com.liferay.taglib.portlet.ResourceURLTei</tei-class> 
        <body-content>JSP</body-content> 
        <attribute> 
            <name>cacheability</name> 
            <required>false</required> 
            <rtexprvalue>true</rtexprvalue> 
        </attribute> 
        <attribute> 
            <name>escapeXml</name> 
            <required>false</required> 
            <rtexprvalue>true</rtexprvalue> 
        </attribute> 
        <attribute> 
            <name>id</name> 
            <required>false</required> 
            <rtexprvalue>true</rtexprvalue> 
        </attribute> 
        <attribute> 
            <name>secure</name> 
            <required>false</required> 
            <rtexprvalue>true</rtexprvalue> 
        </attribute> 
        <attribute> 
            <name>var</name> 
            <required>false</required> 
            <rtexprvalue>true</rtexprvalue> 
        </attribute> 
    </tag> 

可以看出，这个标记有很多属性，他们都是可选的(required=false)，并且他们都可以使用run time表达式，比如JSP表达式，或者EL表达式。

并且，它的主要处理类是ResourceURLTag类，而额外信息类在ResourceURLTei中，我们依次看：

 

对于ReosourceURLTag，它继承了ActionURLTag类，并且doTag方法如下：

public static void doTag( 
            String lifecycle, String windowState, String portletMode, 
            String var, String varImpl, Boolean secure, 
            Boolean copyCurrentRenderParameters, Boolean escapeXml, String name, 
            String resourceID, String cacheability, long plid, long refererPlid, 
            String portletName, Boolean anchor, Boolean encrypt, 
            long doAsGroupId, long doAsUserId, Boolean portletConfiguration, 
            Map<String, String[]> params, PageContext pageContext) 
        throws Exception { 
 
        HttpServletRequest request = 
            (HttpServletRequest)pageContext.getRequest(); 
 
     ..
 
        if (Validator.isNotNull(windowState)) { 
            liferayPortletURL.setWindowState( 
                WindowStateFactory.getWindowState(windowState)); 
        } 
 
        if (Validator.isNotNull(portletMode)) { 
            liferayPortletURL.setPortletMode( 
                PortletModeFactory.getPortletMode(portletMode)); 
        } 
 
        if (secure != null) { 
            liferayPortletURL.setSecure(secure.booleanValue()); 
        } 
        else { 
            liferayPortletURL.setSecure(PortalUtil.isSecure(request)); 
        } 
 
        if (copyCurrentRenderParameters != null) { 
            liferayPortletURL.setCopyCurrentRenderParameters( 
                copyCurrentRenderParameters.booleanValue()); 
        } 
 .....

主要就是从页面上的标记中取出一些值，然后设置相应的变量给liferayPortletURL,最终发送给struts框架。

 

安全请求还是非安全请求：

在我这个难题中，第29-31行是比较重要的，因为我的问题就在于，对于Enterprise版本，只有Admin用户可以吧这个请求发送出去。所以我们来探究这一部分。

在PortalUtil中：

public static boolean isSecure(HttpServletRequest request) { 
        return getPortal().isSecure(request); 
    } 

我们转到PortalImpl中：

public boolean isSecure(HttpServletRequest request) { 
        HttpSession session = request.getSession(); 
 
        Boolean httpsInitial = (Boolean)session.getAttribute( 
            WebKeys.HTTPS_INITIAL); 
 
        boolean secure = false; 
 
        if ((PropsValues.COMPANY_SECURITY_AUTH_REQUIRES_HTTPS) && 
            (!PropsValues.SESSION_ENABLE_PHISHING_PROTECTION) && 
            (httpsInitial != null) && (!httpsInitial.booleanValue())) { 
 
            secure = false; 
        } 
        else { 
            secure = request.isSecure(); 
        } 
 
        return secure; 
    } 

从这段代码，我们可以看出，它先判断是否是https请求，如果是返回true.否则，对于http请求，它去看COMPANY_SECURITY_AUTH_REQUIRES_HTTPS 和SESSION_ENABLE_PHISHING_PROTECTION 字段，

这两个字段我们可以在控制面板中看到：

 

对于现在在家的Community，分别是false和true（明天上班去检查下企业版的配置），所以，对于我们的Community版本，这个判断条件为(false，因为短路表达式)，所以secure=request.isSecure()，

 

liferayPortletURL是最重要的URL,这个URL是<portlet:resourceURL>的等效形式，它由两部分组成，一是基本URL，另外是吧标记内的参数依次填充进去。基本URL的代码在

PortalResponseImpl类中。

 

谁去消费这个URL？

不管如何，页面上的resourceURL标记都会创建一个URL，并且必须指向当前的portlet,并且必须触发serveRequest请求，然后在请求中消费自己携带的参数：

JSR-286原文P226：

The portlet resourceURL tag creates a URL that must point to the current portlet and must trigger a serveResource request with the supplied parameters 

 

关于这一点，如何证明呢？

折腾了1小时，完全弄明白了，在我们写的portlet对应的web.xml中定义了PortletServlet,在其中的doService方法中会调用doFilter方法：

public void service( 
            HttpServletRequest request, HttpServletResponse response) 
        throws IOException, ServletException { 
 
        String portletId = (String)request.getAttribute(WebKeys.PORTLET_ID); 
 
        PortletRequest portletRequest = (PortletRequest)request.getAttribute( 
            JavaConstants.JAVAX_PORTLET_REQUEST); 
 
        PortletResponse portletResponse = (PortletResponse)request.getAttribute( 
            JavaConstants.JAVAX_PORTLET_RESPONSE); 
 
        String lifecycle = (String)request.getAttribute( 
            PortletRequest.LIFECYCLE_PHASE); 
 
        FilterChain filterChain = (FilterChain)request.getAttribute( 
            PORTLET_SERVLET_FILTER_CHAIN); 
 
        LiferayPortletSession portletSession = 
            (LiferayPortletSession)portletRequest.getPortletSession(); 
 
        portletRequest.setAttribute(WebKeys.PORTLET_ID, portletId); 
        portletRequest.setAttribute(PORTLET_SERVLET_CONFIG, getServletConfig()); 
        portletRequest.setAttribute(PORTLET_SERVLET_REQUEST, request); 
        portletRequest.setAttribute(PORTLET_SERVLET_RESPONSE, response); 
 
        HttpSession session = request.getSession(); 
 
        PortletSessionTracker.add(session); 
 
        portletSession.setHttpSession(session); 
 
        try { 
            PortletFilterUtil.doFilter( 
                portletRequest, portletResponse, lifecycle, filterChain); 
        } 
        catch (PortletException pe) { 
            _log.error(pe, pe); 
 
            throw new ServletException(pe); 
        } 
    } 

然后我们到PortletFilterUtil中去看：

public static void doFilter( 
            PortletRequest portletRequest, PortletResponse portletResponse, 
            String lifecycle, FilterChain filterChain) 
        throws IOException, PortletException { 
 
    .. 
        } 
        else if (lifecycle.equals(PortletRequest.RESOURCE_PHASE)) { 
            ResourceRequest resourceRequest = (ResourceRequest)portletRequest; 
            ResourceResponse resourceResponse = 
                (ResourceResponse)portletResponse; 
 
            filterChain.doFilter(resourceRequest, resourceResponse); 
        } 
    } 

因为我们是在RESOURCE_PHASE，所以它会调用08行-13行，然后就执行调用链：

在FilterChainImpl类中：

public void doFilter( 
            ResourceRequest resourceRequest, ResourceResponse resourceResponse) 
        throws IOException, PortletException { 
 
        if (_portletFilters.size() > _pos) { 
            ResourceFilter resourceFilter = (ResourceFilter)_portletFilters.get( 
                _pos++); 
 
            resourceFilter.doFilter(resourceRequest, resourceResponse, this); 
        } 
        else { 
            ResourceServingPortlet resourceServingPortlet = 
                (ResourceServingPortlet)_portlet; 
 
            resourceServingPortlet.serveResource( 
                resourceRequest, resourceResponse); 
        } 
    } 

可以看出，这个FilterChain会依次调用链子上的所有实现了ResourceServingPortlet接口的Portlet的serveResource方法，因为我们例子中ServiceEnvPortlet和MachinePortlet都实现了ResourceServingPortlet接口，所以他们的serveResource()方法如果有，都会被调用。而调用逻辑都写在serveResource()方法里面了，调用逻辑就是去解析上面构造的liferayPortletURL.

 

现在应该清楚了，希望明天可以搞定问题。