摘要：添加驗證既然我們有一個管理面板，自然需要進行驗證。自定義驗證過程你可以用應用提供的實例來自定義驗證過程。通過繼承自該類，我們可以指定驗證用戶的方式。這個將給每個作者發布自己的文章的權限。現在在添加到控制器的鏈接接下來是創建模板。

既然我們有一個管理面板，自然需要進行驗證。幸運的是，Play已經提供了一個叫做Secure的模塊來幫助我們。

在yabe/conf/application.conf啟動Secure模塊，然后重啟應用。

# 導入secure模塊
module.secure=${play.path}/modules/secure

在重啟后，Play應該提示說模塊已被加載。

Secure模塊提供一系列默認的路由。要導入這些路由，在/yabe/conf/routes加入：

# Import Secure routes
*      /              module:secrue

這個模塊提供了一個controllers.Secure控制器，它定義了所有所需的攔截器。當然我們可以繼承這個控制器，但是Java只支持單繼承，可能不可以這么做。

除了直接繼承Secure控制器，我們也可以給控制器加@With注解來告訴Play啟動對應的攔截器：

package controllers;
 
import play.*;
import play.mvc.*;
 
@With(Secure.class)
public class Posts extends CRUD {    
}

同樣處理Comments，Users和Tags控制器。

現在如果你想訪問管理面板，就會跳轉到登錄頁面。

不過，現在無論你往用戶/密碼框填什么，都會讓你通過。

你可以用應用提供的controllers.Secure.Security實例來自定義驗證過程。通過繼承自該類，我們可以指定驗證用戶的方式。

創建yabe/app/controllers/Security.java，并重載authenticata()方法：

package controllers;
 
import models.*;
 
public class Security extends Secure.Security {

    static boolean authenticate(String username, String password) {
        return true;
    }
    
}

因為我們已經在模型層實現了User對象，驗證方法的實現就很簡單了：

static boolean authenticate(String username, String password) {
    return User.connect(username, password) != null;
}

現在前往http://localhost:9000/logout登出，然后嘗試以initial-data.yml中的任意用戶登入，比如bob@gmail.com/secret。

我們通過CRUD模塊開啟了管理面板，但它跟博客的UI格格不入。所以我們還需要實現另一個管理面板。這個將給每個作者發布自己的文章的權限。當然，原來的管理面板還是可以留下來給超級管理員用。

讓我們創建一個Admin控制器：

package controllers;
 
import play.*;
import play.mvc.*;
 
import java.util.*;
 
import models.*;
 
@With(Secure.class)
public class Admin extends Controller {
    
    @Before
    static void setConnectedUser() {
        if(Security.isConnected()) {
            User user = User.find("byEmail", Security.connected()).first();
            renderArgs.put("user", user.fullname);
        }
    }
 
    public static void index() {
        render();
    }
    
}

然后重構yabe/conf/routes里面的路由：

# Administration
GET     /admin/?                                Admin.index
*       /admin                                  module:crud

記住路由文件中的順序是有確切含義的；排在前面的會比后面的優先匹配。所以Admin的路由要放在映射到CRUD模塊的路由的前面。否則，/admin/會被映射到CRUD.index而不是Admin.index。

現在在yabe/app/views/main.html添加到控制器的鏈接：

…

    

        Log in to write something
    

…

接下來是創建yabe/app/views/Admin/index.html模板。讓我們先從基礎開始：

Welcome ${user}!

現在，前往博客主頁，點擊“Log in to write something”鏈接，你應該到達新的管理面板：

好的開始！但因為管理面板將會有一系列新的頁面，我們需要定義一個父模板。創建yabe/app/views/admin.html：

    
                
        
        #{get "moreStyles" /}    
        
        
        
        
    
    
        
        

            

                yabe. administration
            
            

                

                    Log out
                
            
        
        
        

            #{doLayout /} 
        
        
        

            Yabe is a (not so) powerful blog engine built with the 
            Play framework
            as a tutorial application.
        
        
    

如你所見，它像是前面用在博客引擎上的模板。這里替換了Log in鏈接成Log out，調用secure模塊提供的Secure控制器的logout action。

現在就把它用到yabe/app/views/Admin/index.html模板：

#{extends "admin.html" /}
 
Welcome ${user}!

刷新！

嘗試下log out，它會讓你重新登錄：

我們是用secure模塊的默認方法來處理登出。不過自定義也是十分簡單的，重寫controllers.Security類中的onDisconnected()方法即可：

static void onDisconnected() {

Application.index();

}

你可以同樣重載onAuthenticated()：

static void onAuthenticated() {
    Admin.index();
}

我們有兩個管理面板：一個用于編輯者，另一個用于管理員。如你曾見，User模型有一個isAdmin成員，表示一個用戶是否有管理員權限。

secure模塊不僅提供了authentication，還支持authorization。在secure模塊中，這叫做 profiles。要創建admin身份（profile），你僅需重寫controllers.Security中的 check()。

static boolean check(String profile) {
    if("admin".equals(profile)) {
        return User.find("byEmail", connected()).first().isAdmin;
    }
    return false;
}

如果用戶具有管理員權限，我們可以提供一個管理員菜單。更新app/views/admin.html來添加頂級菜單：

…

    
    

        

            My posts
        
        #{secure.check "admin"}
            

                Posts
            
            

                Tags
            
            

                Comments
            
            

                Users
            
        #{/secure.check}
    
    
    #{doLayout /} 

…

注意我們用#{secure.check /}標簽，只給admin用戶展示菜單。

但是我們的CRUD部分依然處于危險之中！如果用戶知道URL，他/她還是可以訪問它。我們必須保護這些控制器。最簡單的方法是使用@Check注解。舉個例子，對于Posts控制器：

package controllers;
 
import play.*;
import play.mvc.*;
 
@Check("admin")
@With(Secure.class)
public class Posts extends CRUD {    
}

同樣處理Tags，Comments和Users控制器。現在作為普通用戶（比如``）登錄。你應該看不到CRUD管理員鏈接。如果試圖訪問http://localhost:9000/admin/u...，你會得到一個403 Forbidden響應。

當我們使用基于CRUD的那個管理面板時，就無法使用管理布局了。因為CRUD模塊提供了自己的布局。不過當然我們可以重載掉它。使用Play命令：

play crud:ov --layout

你會得到一個/yabe/app/views/CRUD/layout.html。來把它的內容替換掉，集成我們的admin.html布局：

#{extends "admin.html" /}
#{set "moreStyles"}
    
#{/set}
 

 
    #{if flash.success}
        

            ${flash.success}
        
    #{/if}
    #{if flash.error || error}
        

            ${error ?: flash.error}
        
    #{/if}
 
    

        #{doLayout /}
    
 

如你所見，我們重用了crud.css并使用get/set模板變量機制來融合admin.html。現在看下CRUD模塊的管理面板，它應該跟管理布局結合在一起了：

管理面板的界面大體上已經完成了。最后要做的，是美化登錄界面。如常，從自定義默認的css開始吧。

play secure:ov --css

要想維持原來的css，我們需要在頂部導入main.css。在yabe/public/stylesheets/secure.css頂部添加這一行：

@import url(main.css);
…

加入這些到你的yabe/conf/messages文件來自定義登錄界面信息：

secure.username=Your email:
secure.password=Your password:
secure.signin=Log in now