JSF mit WebSocket @ Apache Tomcat 9

[bronks]

Servus!

ich Versuche gerade diese eigentlich Kleinigkeit auf einem Tomcat 9 zum laufen zu bekommen: Link Einfach nur eine App, welche mir einen Push zum Browser schickt.

Dafür braucht man CDI und mein Problem liegt darin CDI auf dem Tomcat zu installieren. Dazu heißt es hier , dass OWB2 nur als Source zu haben ist und ich es so bauen soll:

cd $TOMCAT_SRC/modules/owb
mvn clean && mvn package

Ich habe die aktuellen Sourcen heruntergeladen, aber in [modules] gibt es keinen Ordner, der [owb] heißt. Ich konnte auch nicht herausfinden, wo ich den Ordner herbekommen kann.

Weiß zufällig jemand von euch, wo ich diesen Modulordner herbekomme?

Danke!

 

[Burfi]

Du solltest einen für Java EE gemachten Webserver benutzen. Das wäre z. B. Wildfly, oder OpenLiberty. Da funktioniert dann auch CDI von Haus aus.

Eine andere grundsätzlichere Frage wäre aber was du mit diesen Legacy Technologien vor hast?
JSF ist end of life.

 

[bronks]

Eine andere grundsätzlichere Frage wäre aber was du mit diesen Legacy Technologien vor hast?
JSF ist end of life.

Ich habe ein paar Kleinigkeiten mit JSF und PrimeFaces gemacht und die sind ganz gut gelungen. Auf mich macht es den Eindruck, wie wenn JSF voll im Leben wäre, aber ich bin da nicht wirklich so 100%ig auf dem Laufenden.

Ich bin eigenlich für alles offen. Was wäre die aktuell angesagte Technologie, die ich mir als Nachfolger von JSF/JPA ansehen sollte?

 

[LencoX2]

Hab ewig JSF entwickelt und tue es nocht. Ist zwar nicht mehr der neueste heisse Sch*** s. Aber immer noch das aktuelle Java EE Frontend. Keinesfalls End Of Life.

Am einfachsten wird es sein, wenn du von Tomcat auf TomEE wechselst. Das ist Java EE komplett enthalten. Alternativ Wildfly oder Glassfish

Was die Frage nach JSF Alternativen angeht: es gibt keinen Java EE Nachfolger. Üblich sind Nicht Java Frontends wie Angular und React.

 

[bronks]

Am einfachsten wird es sein, wenn du von Tomcat auf TomEE wechselst.

Das dachte ich mir zuerst auch, aber dann passierte das und da wir dann einen richtigen EE-Server hätten und die Features nutzen möchten auch noch das. Der nackte Tomcat mit OWB wäre immernoch das kleinste Übel, aber von OWB2 gibt es keine BinaryDistribution. In den TomcatSourcen fehlen die Module. Ein Build der OwbSourcen selbst bricht mit einem Fehler ab. Ich habe keine Ahnung, wie man OWB2 auf dem TC9 installieren könnte.

Angular

Angular ist ganz toll, aber aus der WebApi mit REST bin ich bzgl. der Sicherheit noch nicht wirklich schlau geworden. Egal welche Projekte ich mir angesehen habe; Es wird immer die technische ID einer Entity abgeholt und diese dann z.B. mit einem DELETE zurückgeschickt. Bei ensprechender Authorisierung könnte ich doch so die komplette Datenbank löschen, was mit JSF eher unmöglich ist? Aber dazu mache ich ggf. einen neuen Thread auf.

 

[DarkAngel2401]

Wenn es eine Java-Lösung für das Frontend sein soll, könnte auch ein Blick auf Vaadin lohnenswert sein.

 

[LencoX2]

Angular ist ganz toll, aber aus der WebApi mit REST bin ich bzgl. der Sicherheit noch nicht wirklich schlau geworde

Das Security Thema ist so bei allen Client Side Rendering Frameworks vorhanden, also nicht spezifisch für Angular.
Die Lösung dafür ist XSRF Token Security. Zusätzlich zum XSRF Token müssen Requests auch im Backend auch inhaltlich validiert werden um bspw Wertebereiche etc. Gegen manuellen Inject Angriffe zu sichern.

 

[bronks]

Die Lösung dafür ist XSRF Token Security. Zusätzlich zum XSRF Token müssen Requests auch im Backend ...

Der Server gibt mir das XSRF Token. Mit diesem Token könnte ich doch einen DELETE oder PUT zu jeder beliebigen ID an den Server zurückschicken. Ist das so?

 

[DarkAngel2401]

Das ist dann Aufgabe der Eingabevalidierung, die serverseitig zusätzlich durchgeführt werden muss.

Mittels CSRF-Cookie / Session-Cookie schaust du, ob die Session an sich valide ist und der Request von dem Client kommt, der auch erwartet wird. (Authentifizierung)
Was der Client an Anfragen abschickt, muss immer auch gesondert geprüft werden (Autorisierung). Den angemeldeten User mit seinen spezifischen Berechtigungen hast du ja aus Schritt 1 ermittelt.

 

[LencoX2]

Der Server gibt mir das XSRF Token. Mit diesem Token könnte ich doch einen DELETE oder PUT zu jeder beliebigen ID an den Server zurückschicken. Ist das so?

Siehe Antwort in Vorpost.