本文是由兩部分組成的系列文章的第 2 部分:本文將介紹使用 Domino Objects 開發(fā) Java 應(yīng)用程序中涉及的一些高級主題,其中包括 SSL 加密、servlet、連接池、單點(diǎn)登錄、會話超時和回收,本文還給出了一些故障檢修技術(shù)。
本文是由兩部分組成的系列文章的第 2 部分。在本系列文章的 第 1 部分中,您了解了本地和遠(yuǎn)程地從 Java 應(yīng)用程序使用 Domino Objects 的一些基礎(chǔ)知識。本文中您將了解 SSL 加密、servlet、連接池、單點(diǎn)登錄、會話超時和回收。文中還包括關(guān)于故障檢修的一個部分。本文假設(shè)您熟悉 Domino Java API,并已經(jīng)閱讀了第一篇文章。
SSL 加密
本系列文章的前一篇文章討論了在本地或遠(yuǎn)程運(yùn)行 Java 應(yīng)用程序。遠(yuǎn)程調(diào)用需要 HTTP 和 DIIOP 訪問權(quán)。可以使用 SSL (Secure Sockets Layer) 對通過 DIIOP 端口的傳輸進(jìn)行加密。有關(guān)如何設(shè)置 DIIOP 的說明,請參閱前一篇文章。客戶機(jī)代碼通過在 createSession 調(diào)用中指定新的第二個參數(shù)來表明加密要求。該參數(shù)是一個 String 數(shù)組,第一個元素將 -ORBEnableSSLSecurity 作為其值,例如:
|
仍然使用非 SSL 端口(上例中為 63148)來獲得 IOR。實(shí)際服務(wù)請求是通過 DIIOP SSL 端口進(jìn)行的,默認(rèn)情況下,該端口為 63149。
運(yùn)行代碼之前,必須設(shè)置有一個從證書權(quán)威機(jī)構(gòu)獲得的通用受信任的根證書的服務(wù)器和客戶機(jī)。最好將這個過程分為一系列的步驟來講述。
步驟 1
創(chuàng)建密鑰環(huán)(key ring)。打開 Domino 服務(wù)器中的 Server Certificate Admin (certsrv.nsf) 數(shù)據(jù)庫,使用其表單創(chuàng)建和填充密鑰環(huán)。有關(guān)的詳細(xì)信息,請參閱 Administering the Domino System, Volume 2 或 Domino Administrator Help。為了進(jìn)行測試,可以使用 CertAdminCreateKeyringWithSelfCert 表單創(chuàng)建具有自我認(rèn)證證書的密鑰環(huán)。
步驟 2
將密鑰環(huán)移至服務(wù)器。密鑰環(huán)包含密鑰環(huán)文件(KYR 文件)和存儲文件(STH 文件)。在訪問 Server Certificate Admin 數(shù)據(jù)庫的計(jì)算機(jī)上生成這些文件。將這兩個密鑰環(huán)文件移至或復(fù)制到包含 Domino 服務(wù)器的計(jì)算機(jī)上。將它們放在服務(wù)器的數(shù)據(jù)目錄中。例如,如果使用默認(rèn)名稱創(chuàng)建具有自我認(rèn)證證書的密鑰環(huán),并將文件復(fù)制到服務(wù)器的數(shù)據(jù)文件安裝在 C:\Lotus\Domino\Data 中的計(jì)算機(jī)上,那么服務(wù)器文件將為:
C:\Lotus\Domino\Data\selfcert.kyr C:\Lotus\Domino\Data\selfcert.sth.
步驟 3
將 TrustedCerts.class 復(fù)制到客戶機(jī)中并將其放在類路徑中。一旦密鑰環(huán)文件位于服務(wù)器中,啟動或重新啟動 DIIOP 任務(wù)會在 Domino 數(shù)據(jù)目錄中生成名為 TrustedCerts.class 的文件。將該文件分布到任何計(jì)算機(jī)中,您將從這臺計(jì)算機(jī)使用 CORBA 通過 SSL 訪問服務(wù)器,并將包含該文件的目錄放在類路徑中。例如,如果將文件復(fù)制到客戶機(jī)的 C:\Lotus\TrustedCerts.class 中,那么設(shè)置類路徑將如下所示:
set classpath := %classpath%;c:\lotus
步驟 4
為服務(wù)器啟用 SSL。在服務(wù)器的 Domino Directory 的 Server 文檔中,轉(zhuǎn)至 Ports 選項(xiàng)卡,然后轉(zhuǎn)至 Internet Ports 選項(xiàng)卡。在 SSL 設(shè)置下,指定 SSL 密鑰文件名(例如,selfcert.kyr)。再轉(zhuǎn)至 DIIOP 選項(xiàng)卡。確保 SSL 端口號正確 —— 默認(rèn)端口號為 63149。啟用 SSL 端口。并根據(jù)需要設(shè)置 Name & password 和 Anonymous 身份驗(yàn)證。
Servlet
Domino 服務(wù)器 HTTP 任務(wù)通過加載 servlet 引擎和 JVM 來支持 servlet。在 Domino Directory 的 Server 文檔中,轉(zhuǎn)至 Internet Protocols 選項(xiàng)卡、Domino Web Engine 選項(xiàng)卡和 Java Servlets 選項(xiàng)卡進(jìn)行設(shè)置。Domino Designer Help 文檔“Running servlets in Domino”提供了一般情況的詳細(xì)說明。下面是 Server 文檔上面部分的示例:
默認(rèn)情況下,Domino 在 domino\servlet 下的數(shù)據(jù)目錄中查找 servlet 可執(zhí)行代碼。例如,如果名為 domino\servlet 的文件中包含可執(zhí)行 servlet,那么可以按如下所示將其存儲在服務(wù)器上:
c:\lotus\domino\data\domino\servlet\MyServlet.class
從瀏覽器(默認(rèn)情況下),通過在 URL 中指定 /servlet 和類文件的名稱來運(yùn)行 servlet。例如:
http://myhost.east.acme.com/servlet/MyServlet
如果正在訪問 Domino Objects,還有考慮其他兩點(diǎn)。首先,對于遠(yuǎn)程訪問,服務(wù)器的 Notes.ini 文件必須為變量 JavaUserClasses 指定 NCSO 歸檔文件。該變量是由 HTTP 任務(wù)加載的 JVM 的類路徑。典型規(guī)范應(yīng)該為:
JavaUserClasses=c:\lotus\domino\data\domino\java\NCSO.jar
其次,在本地訪問 Domino Objects 的代碼必須使用 NotesThread。因?yàn)槠渌椒o法在 servlet 中使用,所以在使用任何 Domino Objects 之前先調(diào)用 NotesThread.sinitThread,然后調(diào)用 NotesThread.stermThread。下列代碼示范了在本地訪問 Domino Objects 的簡單 servlet:
|
Java 類的本地訪問僅需要 HTTP。必須運(yùn)行 HTTP 任務(wù),這樣瀏覽器才可以訪問服務(wù)器,從而調(diào)用 servlet。無需使用 DIIOP 任務(wù)。對于遠(yuǎn)程訪問,必須同時運(yùn)行 DIIOP 任務(wù)。編碼將相對簡單,因?yàn)椴皇褂?NotesThread。極有可能您將不使用遠(yuǎn)程類從同一臺計(jì)算機(jī)訪問 Domino。首選是本地類。然而,可以從不同計(jì)算機(jī)上運(yùn)行的其他 servlet 管理器(例如,WebSphere)來使用遠(yuǎn)程類。下面是一個模板:
|
連接池
連接池允許使用同一 ORB (Object Reference Broker) 創(chuàng)建多個會話,因?yàn)樗袝捁蚕硪粋€ TCP/IP 連接,所以這將減少網(wǎng)絡(luò)資源。在 servlet 應(yīng)用程序和服務(wù)器到服務(wù)器的應(yīng)用程序中,連接池特別有用??梢允褂?NotesFactory createORB 方法之一生成 ORB。然后使用帶有 ORB 參數(shù)的 createSession 方法創(chuàng)建會話。
這里存在的危險(xiǎn)是過度加載網(wǎng)絡(luò)連接?;ㄙM(fèi)很長時間的某一會話上的操作會妨礙共享 ORB 的其他會話上的操作。創(chuàng)建的會話數(shù)不要超過連接可以處理的數(shù)目,當(dāng)完成一個會話時要對其進(jìn)行回收。
下列代碼是一個簡單示例,該示例使用了一個 ORB,以及多達(dá) 10 個的 Domino 會話。第一次運(yùn)行 servlet 時以及每第十次運(yùn)行 servlet 之后,servlet 都會創(chuàng)建新的 ORB。示例使用了下一節(jié)中將介紹的 SSO。
|
SSO(單點(diǎn)登錄)
單點(diǎn)登錄允許通過一臺服務(wù)器上的一次登錄,來訪問多個 Domino 和 WebSphere 服務(wù)器。訪問的服務(wù)器必須像 Administering the Domino System, Volume 2 或 Domino Administrator 幫助中說明的那樣設(shè)置了 SSO。您還可以參閱紅皮書 Domino and WebSphere Together Second Edition 。
下列簽名在通過 Domino 或 WebSphere 服務(wù)器的預(yù)先身份驗(yàn)證之后創(chuàng)建了一個 SSO 會話。
下列代碼說明了基本知識。它使用名稱和密碼訪問服務(wù)器,獲得 SSO 令牌,然后使用該令牌訪問同一 SSO 域中的其他服務(wù)器。
|
接下來的代碼是一個 servlet 示例,從 HTTP cookie 列表中取得 SSO 令牌。
|
會話超時
對于遠(yuǎn)程會話,服務(wù)器都會有最大空閑時間的限制。如果一個會話的空閑時間超過這個限制,服務(wù)器將中止此會話并釋放資源。在 Server 文檔里,可以在 Internet Protocols -〉DIIOP 標(biāo)簽的 Idle session timeout 域里設(shè)置這個值,默認(rèn)值是 60 分鐘。
在客戶端代碼里,使用 Session.isValid() 方法來判斷一個遠(yuǎn)程會話是否可用。如果遠(yuǎn)程會話已經(jīng)超時,isValid() 方法將返回 false 值。下面的例子將創(chuàng)建一個遠(yuǎn)程會話,然后重新訪問此會話。在條件語句中將判斷這個會話是否仍然可用,如果不可用,程序?qū)⒅匦聞?chuàng)建一個會話。
|
isValid() 方法將激活會話,而該會話將重置超時時鐘。
回收
Java 不認(rèn)識重量級后端 Domino Objects,僅認(rèn)識表示這些對象的輕量級 Java 對象。對于本地類,Domino Objects 在運(yùn)行 Java 程序的過程中使用了內(nèi)存,如果不回收這些內(nèi)存,就不會發(fā)生垃圾收集,直到程序退出。內(nèi)存使用在下列情況下可能存在一些問題:
所有 Domino Objects 都有回收方法?;厥辗椒▽⒔K止當(dāng)前對象及其所有子對象,并釋放它們的內(nèi)存。在內(nèi)存使用可能存在問題的時候,強(qiáng)烈建議對內(nèi)存進(jìn)行回收。例如,可以將下列語句(其中會話是 Session 對象)放在 servlet 中 doGet 代碼的后面。這樣將在每次調(diào)用 servlet 后回收所有使用的 Domino Objects。
session.recycle();
可以將下列語句放在處理文檔(其中 doc 是 Document 對象)的循環(huán)(在任何應(yīng)用程序中)的后面。這樣將在每次調(diào)用時回收 Document 對象及其所有子對象(如 Item)。
doc.recycle();
對于遠(yuǎn)程 Domino Objects,回收沒有這樣重要。那時內(nèi)存使用是在 DIIOP 過程中,由線程執(zhí)行垃圾收集。如果失去 TCP/IP 連接,整個會話都將被自動回收。
回收也有下列簽名:
recycle(java.util.Vector objects)
其中 vector 包含 Domino Objects。該簽名有效地對回收請求進(jìn)行批處理,提高遠(yuǎn)程調(diào)用的效率。
在進(jìn)行回收時,請遵守下列指導(dǎo)原則:
故障檢修
下一節(jié)將介紹一般問題的故障檢修方案。
類路徑和路徑
確保代碼可以訪問必需的類。假設(shè) Notes 和 Domino 軟件安裝在 c:\lotus\domino 中,那么類路徑和路徑必須按如下所示方式進(jìn)行設(shè)置:
環(huán)境 | 類路徑 | 路徑 |
本地應(yīng)用程序或 servlet | c:\lotus\domino\Notes.jar | c:\lotus\domino |
遠(yuǎn)程應(yīng)用程序或 servlet | c:\lotus\domino\data\domino\java\NCSO.jar | 不適用 |
對于本地類來說,PATH 是重要的,因?yàn)?Notes.jar 需要使用 Notes/Domino 二進(jìn)制文件和 Notes.ini。
如果從沒有 Domino 軟件的計(jì)算機(jī)遠(yuǎn)程訪問 Domino,必須將 NCSO 歸檔文件復(fù)制到該計(jì)算機(jī)中。類路徑應(yīng)該反映歸檔文件在該計(jì)算機(jī)中的位置。
對于 SSL,類路徑必須指定包含 TrustedCerts.class 的文件夾。
遠(yuǎn)程計(jì)算機(jī)
要遠(yuǎn)程使用 Domino Objects,必須運(yùn)行遠(yuǎn)程計(jì)算機(jī),必須運(yùn)行 Domino 服務(wù)器,客戶機(jī)計(jì)算機(jī)必須使用正確的主機(jī)名稱或 IP 地址。
在 Windows 中,如果有權(quán)訪問服務(wù)器計(jì)算機(jī),可以通過下列 DOS 命令獲取諸如主機(jī)名稱、DNS 服務(wù)器和 IP 地址之類的信息:
> ipconfig/all
在客戶機(jī)計(jì)算機(jī)中,必須能夠訪問服務(wù)器計(jì)算機(jī)。可以嘗試 ping 命令:
> ping hostname
或者
> ping ipaddress
如果無法 ping 遠(yuǎn)程計(jì)算機(jī),那么是網(wǎng)絡(luò)有問題??赡苁俏锢砭W(wǎng)絡(luò)連接、網(wǎng)絡(luò)設(shè)置或輸入的名稱存在問題。必須解決這些問題,才能繼續(xù)進(jìn)行后面的操作。
如果可以 ping 遠(yuǎn)程計(jì)算機(jī),嘗試 telnet 命令來查看遠(yuǎn)程計(jì)算機(jī)監(jiān)聽的端口是否正確。對于 HTTP,默認(rèn)端口是 80,對于 DIIOP,默認(rèn)端口為 63148。
> telnet host port
如果能夠 ping 計(jì)算機(jī),但不能 telnet 端口,那么可能是發(fā)生了下列情況之一:
如果通過 Web 服務(wù)器端口訪問 IOR,應(yīng)該能夠使用下列 URL 從瀏覽器訪問 Domino Server:
http://hostname
應(yīng)該能夠使用下列 URL 查看 IOR 文件:
http://hostname:port/diiop_ior.txt
如果有權(quán)訪問 Domino Server,可以使用下列控制臺命令檢查 DIIOP 任務(wù):
> tell diiop show config
下面是一些典型輸出:
|
錯誤消息
下面是一些錯誤消息和可能的解釋。
HTTP JVM java.lang.ClassNotFoundException and HTTP JVM java.lang.NoClassDefFoundError
這些消息顯示在服務(wù)器控制臺上。它們指明客戶機(jī)正在嘗試使用遠(yuǎn)程類,但未在服務(wù)器中的 Notes.ini 中指定該 JavaUserClasses。
NotesException: Could not get IOR from Domino Server: java.net.ConnectException: Connection refused
該錯誤消息指出存在下列情況之一:
NotesException: Could not get IOR from Domino Server: java.net.ConnectException: Operation timed out
在條錯誤消息指出存在網(wǎng)絡(luò)配置錯誤。
NotesException: Could not get IOR from Domino Server: java.net.UnknownHostException
這條錯誤消息指出存在下列情況之一:
NotesException: Could not open Notes session: org.omg.CORBA.COMM_FAILURE: java.net.ConnectException: Connection refused
這條錯誤消息指出您未在服務(wù)器上運(yùn)行 DIIOP 任務(wù)。
NotesException: Invalid user name/password
這條錯誤消息指出代碼嘗試使用未知名稱或無效密碼訪問 Domino Directory。
NotesException: Server access denied
這條錯誤消息指出進(jìn)行了 Anonymous 訪問,但未被允許。
NotesException: User username is not a server
這條錯誤消息指出嘗試通過客戶機(jī)上的 Domino Directory 來運(yùn)行會話。
NotesException: Wrong Password
這條錯誤消息指出在嘗試通過 Notes ID 訪問時,代碼提供了錯誤密碼。如果代碼不發(fā)送密碼,訪問最初為 Anonymous。如果需要身份驗(yàn)證(例如,試圖打開數(shù)據(jù)庫),會出現(xiàn) Lotus Notes 框來要求您輸入密碼。該框會一直顯示,直到用戶提供了正確的密碼或單擊 Cancel 為止。
Reference to createSession is ambigous
在編譯過程中會出現(xiàn)這種錯誤消息。表明使用了 null 作為 createSession 參數(shù)。在大多數(shù)情況下,必須使用“(String)null”。
UnsatisfiedLinkError: NCreateSession
該錯誤消息指明本地會話未使用 NotesThread。提供 NotesThread.sinitThread 和 stermThread,或者使用 NotesThread。
NotesFactory 簽名
NotesFactory createSession 方法可以創(chuàng)建本地或遠(yuǎn)程會話對象??梢允褂?Notes ID 或 Domino Directory 進(jìn)行本地會話調(diào)用。遠(yuǎn)程會話使用 Domino Directory。
對于遵守下列格式的 NotesFactory 簽名:
hostname = hostname | hostname:port | ipaddress | ipaddress:port
|
|
|
Notes.ini 變量
下列 Domino 服務(wù)器的 Notes.ini 變量會影響 DIIOP 任務(wù)。
變量 | 描述 |
DIIOPConfigUpdateInterval | 指定 DIIOP 應(yīng)該檢查的時間,以刷新它在 Domino Directory 中的配置數(shù)據(jù),以分鐘表示。默認(rèn)值為 3 分鐘 |
DIIOPDNSLookup | 確定 DIIOP 是否應(yīng)該為連接和使用 DIIOP 服務(wù)的每個客戶機(jī)進(jìn)行 DNS 名稱查找: 1 —— 啟用 DNS 查找 2 ——(默認(rèn))禁用 DNS 查找 當(dāng)使用服務(wù)器控制臺顯示任務(wù)時,可以看到這條信息 |
DIIOPIORHost | 指定主機(jī)名稱或 IP 地址,使用其通過 DIIOP 識別服務(wù)器。默認(rèn)名稱基于 Server 文檔中 Basics 選項(xiàng)卡下“Fully qualified Internet host name”字段。設(shè)置該值的首選方法是使用 Server 文檔中 DIIOP 和 Internet Protocols 選項(xiàng)卡下的 Host name/Address 字段。 在 R5 中,該變量稱為 DIIOP_IOR_HOST,但它對向后兼容仍然有效 |
DIIOPIgnorePortLimits | (僅 Linux)確定是否忽略端口限制,從而可以使用默認(rèn) DIIOP 端口 63148 和 63149。一些 Linux 系統(tǒng)設(shè)置端口限制,不允許使用 DIIOP 通常的默認(rèn)值: 1 —— 忽略限制;使用端口 63148 和 63149 2 —— 遵守限制;使用端口 60148 和 60149 在 R5 中,該變量稱為 DIIOP_IGNORE_PORT_LIMITS,但它對向后兼容仍然有效。 |
DIIOPLogLevel | 指定 DIIOP 向服務(wù)器控制臺和日志提供的信息的級別: 0 —— 僅顯示錯誤和警告 1 —— 還顯示信息消息 2 —— 還顯示會話初始化和終止消息 3 —— 還顯示會話統(tǒng)計(jì)信息 4 —— 還顯示事務(wù)消息 可以在服務(wù)器控制臺中使用 tell diiop log= n 命令設(shè)置該值 |
DIIOPCookieCheckAddress | 對于與 Domino HTTP 服務(wù)器下載的 applet 一起使用的基于服務(wù)器的 cookie,該變量確定訪問 cookie 的客戶機(jī)的 IP 地址是否必須與接收 cookie 的客戶機(jī)的 IP 地址相匹配: 0 ——(默認(rèn))不必匹配 1 —— 必須匹配 大多數(shù)情況下,客戶機(jī) IP 地址不必匹配。使用 HTTP 發(fā)出 cookie,HTTP 通常是通過代理服務(wù)器發(fā)送的。cookie 的用戶是 applet,而 applet 不通過代理服務(wù)器 |
DIIOPCookieTimeout | 對于與 Domino HTTP 服務(wù)器下載的 applet 一起使用的基于服務(wù)器的 cookie,該變量指定每個 cookie 有效的分鐘數(shù)。無法使用到期的 cookie 與 DIIOP 任務(wù)進(jìn)行會話。該變量的默認(rèn)值為 10。最小值為 1 |