在Spring中集成Acegi 2.x安全框架

2023-12-13 17:32
文章标签 java 安全 spring 框架 集成 acegi

本文主要是介绍在Spring中集成Acegi 2.x安全框架，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

  Acegi是基于Spring的一个开源的安全认证框架，现在的最新版本是Spring Security 2.0。新版本增加了许多新的特性：新特性包括简化的配置，并增加了新的功能，包括OpenID、NTLM、JSR 250注解、AspectJ切入点（pointcut）支持、域ACL增强、RESTful URI授权、组、分级角色、用户管理API、数据库支持的“remember me”，portlet认证、其他语言、Web Flow 2.0支持、Spring IDE可视化及自动完成、通过Spring Web Services 1.5提供的增强WSS支持等等。其中，最明显的就是配置文件的简化。

      1.x版本需要配置一个过滤器链以及各个过滤器对应的bean，各个过滤器一般有先后顺序，顺序颠倒了会出现一些意想不到的异常，无疑增加了配置的复杂性。在2.x版本中，框架将过滤器链和各个过滤器的先后顺序作了固化，以降低配置的复杂性、减少配置出错的机率。

      下面将详细介绍Spring Security 2.0的配置。

 

      一、在web.xml中的配置

          

Xml代码 收藏代码
  1. <filter>  
  2.      <filter-name>securityFilter</filter-name>  
  3.      <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>  
  4.      <init-param>  
  5.             <param-name>targetBeanName</param-name>  
  6.             <param-value>springSecurityFilterChain</param-value>  
  7.      </init-param>  
  8. </filter>  
  9.   
  10. <filter-mapping>  
  11.      <filter-name>securityFilter</filter-name>     
  12.      <url-pattern>/*</url-pattern>     
  13. </filter-mapping>  
  14. <!-- 当过滤器的名称不是springSecurityFilterChain时，需要配置targetBeanName参数，参数值为springSecurityFilterChain -->  

 

    二、在security.xml中的配置

        1、namespace的引用

Xml代码 收藏代码
  1. <b:beans xmlns="http://www.springframework.org/schema/security"  
  2.     xmlns:b="http://www.springframework.org/schema/beans"  
  3.     xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"  
  4.     xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-2.0.xsd  
  5.                         http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-2.0.1.xsd">  

        2、http节点的配置

   

Xml代码 收藏代码
  1. <http auto-config="true" lowercase-comparisons="false" path-type="ant" access-denied-page="/accessDenied.jsp" access-decision-manager-ref="accessDecisionManager">  
  2.         <intercept-url pattern="/index.jsp*" access="ROLE_ANONYMOUS"/>  
  3.         <intercept-url pattern="/logout.jsp*" access="ROLE_ANONYMOUS"/>  
  4.         <intercept-url pattern="/accessDenied.jsp*" access="ROLE_ANONYMOUS"/>  
  5.   
  6.         <intercept-url pattern="/**/*.jsp*" access="ADMIN,SYS_MANAGER"/>          
  7.         <intercept-url pattern="/**/*.htm*" access="ADMIN,SYS_MANAGER"/>  
  8.         <intercept-url pattern="/**/*.html*" access="ADMIN,SYS_MANAGER"/>  
  9.         <intercept-url pattern="/**/*.action*" access="ADMIN,SYS_MANAGER"/>  
  10.         <intercept-url pattern="/**/*.ftl*" access="ADMIN,SYS_MANAGER"/>  
  11.   
  12.         <form-login login-page="/index.jsp" always-use-default-target="true" login-processing-url="/j_security_check" authentication-failure-url="/index.jsp?login_error=1" default-target-url="/main.action"/>  
  13.         <concurrent-session-control max-sessions="1" exception-if-maximum-exceeded="false"/>  
  14.         <logout logout-url="/j_security_logout" logout-success-url="/index.jsp" invalidate-session="true"/>  
  15. </http>  

      说明：

           lowercase-comparisons：表示URL比较前先转为小写。
           path-type：表示使用Apache Ant的匹配模式。

          access-denied-page：访问拒绝时转向的页面。

          access-decision-manager-ref：指定了自定义的访问策略管理器。当系统角色名的前缀不是默认的ROLE_时，需要自定义访问策略管理器。

 

          login-page：指定登录页面。
          login-processing-url：指定了客户在登录页面中按下 Sign In 按钮时要访问的 URL。与登录页面form的action一致。其默认值为：/j_spring_security_check。
         authentication-failure-url：指定了身份验证失败时跳转到的页面。
         default-target-url：指定了成功进行身份验证和授权后默认呈现给用户的页面。
         always-use-default-target：指定了是否在身份验证通过后总是跳转到default-target-url属性指定的URL。

 

         logout-url：指定了用于响应退出系统请求的URL。其默认值为：/j_spring_security_logout。
         logout-success-url：退出系统后转向的URL。
         invalidate-session：指定在退出系统时是否要销毁Session。

 

         max-sessions:允许用户帐号登录的次数。范例限制用户只能登录一次。

         exception-if-maximum-exceeded: 默认为false，此值表示：用户第二次登录时，前一次的登录信息都被清空。
          当exception-if-maximum-exceeded="true"时系统会拒绝第二次登录。

 

      3、自定义访问决策管理器的配置

Java代码 收藏代码
  1. <b:bean id="accessDecisionManager" class="org.springframework.security.vote.AffirmativeBased">  
  2.      <b:property name="allowIfAllAbstainDecisions" value="false"/><!-- 设定是否允许 “没人反对就通过” 的投票策略 -->  
  3.      <b:property name="decisionVoters"><!-- 投票者 -->  
  4.           <b:list>  
  5.                <b:bean class="org.springframework.security.vote.RoleVoter">  
  6.                     <b:property name="rolePrefix" value=""/><!-- 投票者支持的权限前缀，默认是“ROLE_” -->  
  7.                </b:bean>  
  8.            </b:list>  
  9.      </b:property>  
  10. </b:bean>  

    说明：

          Acegi提供三种投票通过策略的实现：
                1、AffirmativeBased（至少一个投票者同意方可通过）
                2、ConsensusBased（多数投票者同意方可通过）
                3、UnanimousBased（所有投票者同意方可通过）

 

    4、DAO身份验证提供者的配置

Java代码 收藏代码
  1. <authentication-provider user-service-ref="userDao"/>  

 

   三、登录页面

Html代码 收藏代码
  1. <form method="post" id="frmLogin" name="frmLogin" action="<s:url value="/j_security_check"/>">  
  2.      用户：<input type="text" name="j_username" id="j_username"/>  
  3.      密码：<input type="password" name="j_password" id="j_password"/>  
  4.       
  5.      <input type="submit" value="Sign In"/>  
  6. </form>  

    说明：

        1、form的action值必须与security.xml配置文件中form-login节点的login-processing-url属性值一致。

        2、用于输入用户名的input控件name必须为j_username。

        3、用于输入密码的input控件name必须为j_password。

这篇关于在Spring中集成Acegi 2.x安全框架的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/489323。

相关文章

JVM 的类初始化机制

JVM 的类初始化机制

前言 当你在 Java 程序中new对象时，有没有考虑过 JVM 是如何把静态的字节码（byte code）转化为运行时对象的呢，这个问题看似简单，但清楚的同学相信也不会太多，这篇文章首先介绍 JVM 类初始化的机制，然后给出几个易出错的实例来分析，帮助大家更好理解这个知识点。 JVM 将字节码转化为运行时对象分为三个阶段，分别是：loading 、Linking、initialization
阅读更多...
Spring Security 基于表达式的权限控制

Spring Security 基于表达式的权限控制

前言 spring security 3.0已经可以使用spring el表达式来控制授权，允许在表达式中使用复杂的布尔逻辑来控制访问的权限。 常见的表达式 Spring Security可用表达式对象的基类是SecurityExpressionRoot。 表达式描述hasRole([role])用户拥有制定的角色时返回true （Spring security默认会带有ROLE_前缀）,去
阅读更多...
浅析Spring Security认证过程

浅析Spring Security认证过程

类图 为了方便理解Spring Security认证流程，特意画了如下的类图，包含相关的核心认证类 概述 核心验证器 AuthenticationManager 该对象提供了认证方法的入口，接收一个Authentiaton对象作为参数; public interface AuthenticationManager {Authentication authenticate(Authenti
阅读更多...
Spring Security--Architecture Overview

Spring Security--Architecture Overview

1 核心组件 这一节主要介绍一些在Spring Security中常见且核心的Java类，它们之间的依赖，构建起了整个框架。想要理解整个架构，最起码得对这些类眼熟。 1.1 SecurityContextHolder SecurityContextHolder用于存储安全上下文（security context）的信息。当前操作的用户是谁，该用户是否已经被认证，他拥有哪些角色权限…这些都被保
阅读更多...
Spring Security基于数据库验证流程详解

Spring Security基于数据库验证流程详解

Spring Security 校验流程图 相关解释说明（认真看哦） AbstractAuthenticationProcessingFilter 抽象类 /*** 调用 #requiresAuthentication(HttpServletRequest, HttpServletResponse) 决定是否需要进行验证操作。* 如果需要验证，则会调用 #attemptAuthentica
阅读更多...
Spring Security 从入门到进阶系列教程

Spring Security 从入门到进阶系列教程

Spring Security 入门系列 《保护 Web 应用的安全》 《Spring-Security-入门（一）：登录与退出》 《Spring-Security-入门（二）：基于数据库验证》 《Spring-Security-入门（三）：密码加密》 《Spring-Security-入门（四）：自定义-Filter》 《Spring-Security-入门（五）：在 Sprin
阅读更多...
Java架构师知识体认识

Java架构师知识体认识

源码分析 常用设计模式 Proxy代理模式Factory工厂模式Singleton单例模式Delegate委派模式Strategy策略模式Prototype原型模式Template模板模式 Spring5 beans 接口实例化代理Bean操作 Context Ioc容器设计原理及高级特性Aop设计原理Factorybean与Beanfactory Transaction 声明式事物
阅读更多...
Java进阶13讲__第12讲_1/2

Java进阶13讲__第12讲_1/2

多线程、线程池 1.  线程概念 1.1  什么是线程 1.2  线程的好处 2.   创建线程的三种方式 注意事项 2.1  继承Thread类 2.1.1 认识  2.1.2  编码实现  package cn.hdc.oop10.Thread;import org.slf4j.Logger;import org.slf4j.LoggerFactory
阅读更多...
JAVA智听未来一站式有声阅读平台听书系统小程序源码

JAVA智听未来一站式有声阅读平台听书系统小程序源码

智听未来，一站式有声阅读平台听书系统 🌟&nbsp;开篇：遇见未来，从“智听”开始 在这个快节奏的时代，你是否渴望在忙碌的间隙，找到一片属于自己的宁静角落？是否梦想着能随时随地，沉浸在知识的海洋，或是故事的奇幻世界里？今天，就让我带你一起探索“智听未来”——这一站式有声阅读平台听书系统，它正悄悄改变着我们的阅读方式，让未来触手可及！ 📚&nbsp;第一站：海量资源，应有尽有 走进“智听
阅读更多...
在cscode中通过maven创建java项目

在cscode中通过maven创建java项目

在cscode中创建java项目 可以通过博客完成maven的导入 建立maven项目 使用快捷键 Ctrl + Shift + P 建立一个 Maven 项目 1 Ctrl + Shift + P 打开输入框2 输入 "> java create"3 选择 maven4 选择 No Archetype5 输入 域名6 输入项目名称7 建立一个文件目录存放项目，文件名一般为项目名8 确定
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2