AEM特性——作者预览Servlet

为什么这是需要吗?

这可能只是我,但我发现它非常常见的客户未经过身份验证的请求URL查看正在进行的页面在一个AEM作者实例。问很多意义,往往那些批准内容往往会一眼,只是想给AEM作者系统中,不需要大量的时间或专用的登录/帐户。相反,它会很高兴有一个预览内容的方式在上线之前,可能通过离线或电子邮件审批流程。今天,不可用和AEM开箱即用的,人们想有这种行为有一个专门的“预览”发布实例,或者,必须咬紧牙关,迫使他们所有审批人员登录之前看到任何内容。

一个新的挑战者的方法

进入预览Servlet。这个定制servlet直接绕过身份验证,并允许一个页面呈现活跃作者实例。怎么,你问?吊索Servlet规范内的小窍门删除Servlet请求身份验证,再加上一个单独的VHost apache配置用来迫使所有交通要求通过我们预览Servlet。(理想情况下,这是通过一个独立的,特定的子域)

现在,让我们打破这个servlet是如何工作的。

预览Servlet

servlet本身非常简单。这个servlet将侦听给定端点,从传入后缀,确定内容呈现。例如,使用默认的端点,预览。html,我们可以渲染we-retail根与以下页面:

/ preview.html /内容/ we-retail /美国/ en / men.html

上面会看起来非常熟悉那些AEM作者UI内工作,利用相同的概念在使用后缀。类似于编写UI中,我们使用后缀来确定所引用的页面。然而,有一个关键的区别,开箱即用的服务利用后缀是利用初始用户会话/认证,同时我们会需要我们的服务可用于未经身份验证的用户。

幸运的是,有一个吊索的财产删除认证要求一个servlet。属性定义如下:

sling.auth.requirement = - /预览

当然,作为一个惯例您可能想使用一个静态变量来设置这个,而不是硬编码的字符串,所以将看起来像下面的定义:

@ component(服务= {Servlet。类,过滤器。类},立即= true属性={常数。SERVICE_DESCRIPTION + " = " +“预览”servlet, ServletResolverConstants。SLING_SERVLET_METHODS + " = " + HttpConstants。METHOD_GET ServletResolverConstants。SLING_SERVLET_RESOURCE_TYPES + " = " + " perficient / servlet /预览”,ServletResolverConstants。SLING_SERVLET_EXTENSIONS + " = " + PreviewServlet。URL_SUFFIX AuthConstants。AUTH_REQUIREMENTS + + PreviewServlet = -。URL_PREFIX})

太棒了!现在我们有了一个servlet,允许匿名访问,可以阅读页面我们想呈现的路径!然而,我们仍然不做任何路径本身。现在,有趣的东西——是时候页面内容。要做到这一点,我们可以使用另一个方便的类,RequestDispatcher。这将需要提供的资源节点和调度请求呈现。好吧,这太棒了!然而,我们仍然在一个未经身份验证的状态,所以在这一点上我们需要确保我们呈现内容似用户有读权限。这就是你的安全团队的一部分被惹恼的时候,我需要给以下免责声明:

* * * *的免责声明

1. 如果你打开你的网站匿名作者读者,即使只有只读权限,你需要非常注意路径暴露。,请非常非常,仔细的在用户权限分配您的服务。
2. 匿名用户访问您的端点为目的的审查应算作一个作者用户AEM的许可证。这不是为了让更多作者比合同允许的用户。

免责声明的,让我们继续。

在这一点上我们需要分配一个用户请求转发的服务请求分配器。为此我们使用一个相对常见的策略创建一个包装器的吊索请求包装和更新一套预先配置的倾诉在资源解析器。表示服务用户在我们的实现中通过属性/ conf中是可配置的。虽然不是必需的,但是这是我强烈推荐的方法,特别是对于那些在多租户系统。

这是一个示例servlet的包装和服务用户附件逻辑:

ResourceResolver ResourceResolver = repoService.getResourceResolver(本);对象oldRR = request.getAttribute (AuthenticationSupport.REQUEST_ATTRIBUTE_RESOLVER);WCMMode模式= WCMMode.DISABLED.toRequest(请求);{request.setAttribute (AuthenticationSupport试试。REQUEST_ATTRIBUTE_RESOLVER resourceResolver);SlingHttpServletRequestWrapper包装= new SlingHttpServletRequestWrapper(请求){@Override公共ResourceResolver getResourceResolver(){返回ResourceResolver;}};RequestDispatcher调度员= request.getRequestDispatcher (newResource);调度员。转发(包装、响应);…

还要注意我们设置WCMMode禁用,这样可以确保一切都会呈现,好像一个出版商。

时间测试,对吗?不幸的是,我们错过了一个重要拼图的。

资产和内部链接引用页面上的内容吗? !

当你请求通过servlet端点(/预览。html对于本文章的目的),链接,以及相关的资产仍将没有前缀,因此,需要对作者身份验证。我们如何绕过了吗? !因为大多数发展中存在的问题,有一些方法来解决这个问题。一种可能性是编写一个链接重写重写一切解决通过servlet,基于servlet的前缀。这种方法,虽然可能是困难和挑剔。相反,另一种选择在apache专门创建单独的VHost预览请求。在重写这个方法有几个好处:

1. 指定预览servlet时一个专门的领域,我们可以很容易地调整透传url总是包含/预览。html,暴露链接匹配您的生产服务器
2. 不需要维护两个独立的重写管道相同的内容

Apache VHost

在这一点上,我们非常接近的预览方案我们需要一个页面的标记可以未经身份验证的。我们只是需要确保每一个我们未经身份验证的servlet请求通过,而不是最初的页面请求。虽然这听起来复杂,这实际上是最简单的部分!剩下的工作就是创建一个apache VHost致力于你的预览端点。尽管可能没有子域,这里强烈推荐——一个例子:

http://preview-author.perficient.com/

现在,随着一个映射,我们可以很容易地迫使所有流量通过servlet !

重写/ (. *)/ preview.html / (. *) [PT, L]

然后,以防,我也强烈建议阻止一些基本AEM的链接:

# 301 aem网站接口/资产他们寻找RewriteCond ^ /(网站| |编辑资产)。html /重写。+ . html /(. *) /预览。html / 1美元(R = 301,数控,L) # 404系统仅端点RewriteCond ^ / (aem | crx |系统)重写。* - (R = 404 L) #预览交通透传重写/ (. *)/ preview.html / (. *) [PT, L]

当然,上面的是例如目的——并将有更多的路径你想限制从预览的角度来看。说完这些,最好确保你的服务用户最小权限来减少这种风险。另一个重要的安全步骤是配置一个白名单,如果可能的话,只允许人们从特定IP的使用这个功能。

下一个步骤

如果你想要进一步的事情,我建议来实现一个按钮进入AEM“编辑器”界面预览作者“开放”。这将使链接生成和分布更容易传福音。

笔记

上面不会为AEM工作作为云服务(AEMaaCS)部署。然而,如果你正在与AEMaaCS, Adobe还包括一些预览功能正如我们所见它利用一个单独的实例。

荣誉

信贷servlet实现和概念证明我有才华的朋友保罗Bjorkstrand

横幅图片由里卡多。安嫩代尔在Unsplash

编码快乐,你们。