Spring Security 是一个强大的和高度可定制的身份验证和访问控制框架，用于Java应用程序。它为Web应用程序和企业级应用提供安全解决方案，包括用户认证、权限控制、会话管理等多个方面。在Spring Security 3版本中，引入了许多改进和新特性，以增强其功能和灵活性。
1. **认证机制**：Spring Security 3 提供了多种认证方式，如基于表单的认证、HTTP基本认证、X.509证书认证等。用户可以通过自定义AuthenticationProvider来扩展认证逻辑，以适应各种认证需求。
2. **访问控制**：基于AOP（面向切面编程）的访问控制是Spring Security的核心特性之一。通过定义AccessDecisionManager和SecurityExpressionRoot，我们可以轻松地实现基于角色的访问控制（RBAC）和更复杂的表达式式访问控制。
3. **Filter Chain**：Spring Security的核心是过滤器链，它处理HTTP请求并执行相应的安全检查。例如，RememberMeServices、AuthenticationProcessingFilter、SecurityContextHolder等都是链中的关键组件。
4. **Remember Me**：Spring Security 3 支持“记住我”功能，允许用户在一段时间内无需再次输入用户名和密码。此功能通过在客户端存储持久化的令牌来实现。
5. **CSRF防护**：为了防止跨站请求伪造攻击，Spring Security 3提供了内置的CSRF保护。它可以自动添加CSRF令牌到表单并验证它们，以确保所有修改数据的请求都来自可信源。
6. **国际化支持**：Spring Security 3 支持多语言环境，可以方便地切换不同语言的错误消息和提示信息。
7. **细粒度的URL保护**：通过使用 `<intercept-url>` 配置元素，我们可以精确地指定哪些URL需要进行怎样的安全控制，例如允许匿名访问、只允许特定角色访问等。
8. **OAuth集成**：虽然Spring Security 3.1.0.RC3版本相对较旧，但仍然支持OAuth协议，可以与其他OAuth服务提供商（如Google、Facebook等）进行身份验证集成。
9. **XML配置与Java配置**：在3.x版本中，Spring Security既可以使用XML配置，也可以使用Java配置API，这为开发者提供了更多选择和灵活性。
10. **Spring集成**：Spring Security与Spring框架深度集成，可以无缝地与Spring MVC、Spring AOP以及Spring的其他模块协同工作。
11. **自定义权限表达式**：通过定义自定义的PermissionEvaluator，你可以实现基于业务逻辑的复杂权限判断，比如“用户是否拥有某个资源”。
12. **安全异常处理**：Spring Security提供了统一的异常处理机制，可以捕获和处理安全相关的异常，如AccessDeniedException、AuthenticationException等。
Spring Security 3作为一个全面的安全框架，为企业级应用提供了全方位的安全保障，从用户认证到权限控制，再到安全策略的定制，都是其强大之处。通过深入理解和熟练使用，我们可以构建出高效且安全的Java应用程序。
