spring_security2.0介绍.docx资源-CSDN文库

需积分: 9 88 浏览量 2012-04-12 14:42:55 上传评论收藏 159KB DOCX 举报

Spring Security 是一个强大的安全框架，主要用于Java应用的安全管理，尤其在Spring生态中有着广泛的应用。在Spring Security 2.0版本中，它提供了高度的可移植性、可配置性和丰富的验证模型，支持多种认证和授权机制，如HTTP BASIC、LDAP、CAS、JAAS以及表单认证等。 Spring Security的特点体现在以下几个方面： 1. **高可移植性**：由于Spring Security是Spring框架的一部分，因此具备与Spring相同级别的可移植性，可以在多种Java平台上无缝运行。 2. **可配置性**：Spring Security允许开发者通过XML或Java配置来定制安全策略，适应不同项目需求。 3. **灵活的验证模型**：Spring Security支持多种认证机制，包括HTTP基本认证、LDAP、CAS、JAAS以及基于表单的认证，同时允许开发人员自定义认证机制。在实际应用中，Spring Security的实现通常包括以下步骤： 1. **用户尝试访问受保护的资源**：用户点击链接，向服务器发送请求。 2. **服务器检查权限**：服务器检测到请求的目标资源是受保护的，若用户尚未认证，会触发认证流程。 3. **认证过程**：用户可能会被重定向到登录页面或通过其他方式（如BASIC认证）提供身份信息。 4. **身份验证**：服务器接收并验证用户提供的身份信息，如果无效，用户会被要求重新尝试。 5. **权限判断**：如果用户成功认证，服务器会进一步判断用户是否有权访问请求的资源。 6. **资源访问**：如果用户拥有访问权限，请求会正常处理并返回结果；否则，用户会收到权限拒绝的错误消息。在具体实现Spring Security时，我们需要以下步骤： 1. **引入依赖**：确保相关库（如acegi-security的jar包）位于项目的类路径下，通常是`/WEB-INF/lib/`目录。 2. **配置web.xml**：添加Spring Security的代理过滤器`springSecurityFilterChain`，并映射到所有请求路径。 3. **配置Spring Security**：这可以通过XML配置文件或Java配置类完成，定义如访问控制规则、认证和授权逻辑等。在XML配置中，可能会包含如`<http>`、`<authentication-manager>`、`<user-service>`等元素来设置安全策略。而在Java配置中，可以使用`@EnableWebSecurity`注解启用安全配置，并通过`WebSecurityConfigurerAdapter`的扩展来定制安全规则。例如，你可以定义哪些URL需要认证才能访问，哪些角色可以访问特定资源，以及如何处理未认证或未授权的请求。此外，Spring Security还提供了记住我（Remember-Me）功能、CSRF保护、国际化支持等多种高级特性。 Spring Security 2.0通过其强大的功能和灵活性，为开发者提供了一套全面的解决方案，用于处理应用程序的安全需求，包括用户认证、权限控制和安全配置。通过理解其工作原理和配置方法，开发者可以更好地利用这一框架来保障应用的安全性。

资源推荐

资源详情

资源评论

Spring security2.0 介绍

——刘春来

我所在市场部客户服务网站项目组，其中一个项目是客户管理系统 crms，它所用到的

权限控制是用的 spring security 工具，本文将对 spring security 工具做一个较全面的介绍，

主要想就它的实现原理，实现步骤方面介绍清楚，至于各种运用场景和实现方式可自行去

研究。

注明：在写这篇文章前，在网上找了很多 spring security 方面的资料，包括它的官方文档，

发现就其原理上的说明很少，大多只是单纯的简单介绍而已，所以想写下自己对其如何实

现，怎么实现的使用方面的理解。只希望通过本文使大家对 spring security 有大概的了解，

在以后可能用到时，有所帮助。

一、spring security 特点

1、高可移植性；作为 spring 的一个开源工具，具有同 spring 相同的可移植性；

2、可配置性；这点在下面的例子中可看到；

3、具有丰富灵活的验证模型,下面是列举的几个认证技术：

HTTP BASIC authencaon headers (一个基于 IEFT RFC 的标准)

LDAP (一个非常常见的跨平台认证需要做法，特别是在大环境)

JA-SIG Central Authencaon Service (也被称为 CAS，这是一个流行的开源单点

登录系统)

Java Authencaon and Authorizaon Service (JAAS)

Form-based authencaon (提供简单用户接口的需求)

。。。。。

Spring Security 是一个开放的平台，可以编写自己的验证机制。

注明：我在写这篇文章之前，就一直在思考，怎么才能将 security 将清楚，这要涉及它的

结构、原理、实现 3 个方面，我不想就简单的讲下它的各种实现方式，因为这些网上都有，

感觉没有意义。我想就人们认识事物的过程来讲它。第一步，说它的实现步骤；第二步，

说它的实现的具体方式；第三步，从原理上来解析它的实现。

二、spring security 的实现步骤

下面是一个典型的安全控制的例子：

1．你点击一个链接访问一个网页；

2．浏览器发送一个请求到服务器，服务器判断出你正在访问一个受保护的资源；

3．如果此时你并未通过身份认证，服务器发回一个响应提示你进行认证——这个响应

可能是一个 HTTP 响应代码，抑或重定向到一个指定页面；

4．根据系统使用认证机制的不同，浏览器或者重定向到一个登录页面中，或者由浏览

器通过一些其它的方式获取你的身份信息（如通过 BASIC 认证对话框、一个

Cookie）；

5．浏览器再次将用户身份信息发送到服务器上（可能是一个用户登录表单的 HTTP

POST 信息、也可能是包含认证信息的 HTTP 报文头）；

6．服务器判断用户认证信息是否有效，如果无效，一般情况下，浏览器会要求你继续

尝试，这意味着返回第 3 步。如果有效，则到达下一步；

7．服务器重新响应第 2 步所提交的原始请求，并判断该请求所访问的程序资源是否在

你的权限范围内，如果你有权访问，请求将得到正确的执行并返回结果。否则，你将

收到一个 HTTP 403 错误，这意味着你被禁止访问。

【上面黑体部分的两个判断就是安全控制的核心部分】

注明：我想大家对这个都应该知道，也可能做过类似的，但你不一定是用 spring

security 来实现的，下面将讲述如何用 spring security 将上面一步步实现。

三、spring security 的具体实现(必须使用 spring 框架)

1.第一步并确保 jar 文件放到正确的位置（/WEB-INF/lib/）

• acegi-security-core-2.0.4.jar

• acegi-security-core-ger-2.0.4.jar

• acegi-security-taglibs-2.0.4.jar

2.在 web.xml 文件里配置一个 springSecurityFilterChain 的代理过滤器

<filter-name>springSecurityFilterChain</filter-name>

<filter-class>org.springframework.web.filter.DelegatingFilterProxy

</filter-class>

</filter>

<filter-mapping>

<filter-name>springSecurityFilterChain</filter-name>

<url-pattern>/*</url-pattern>

</filter-mapping>

并且，导入 spring security 配置文件

classpath:applicationContext-security.xml

3.配置 spring security 的配置文件

<?xml version="1.0" encoding="UTF-8"?>

<b:beans xmlns="http://www.springframework.org/schema/security"

xmlns:b="http://www.springframework.org/schema/beans"

xmlns:p="http://www.springframework.org/schema/p"

xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"

xsi:schemaLocation="http://www.springframework.org/schema/beans

http://www.springframework.org/schema/beans/spring-beans-2.5.xsd

http://www.springframework.org/schema/security

http://www.springframework.org/schema/security/spring-security-

2.0.1.xsd">

<intercept-url pattern="/**" access="ROLE_USER" />

</http>

<authentication-provider>

<user-service>

<user name="downpour" password="downpour" authorities="ROLE_USER,

ROLE_ADMIN" />

剩余12页未读，继续阅读

评论收藏

内容反馈

xiaoqiangbuxi

粉丝: 0
资源: 1

spring_security2.0介绍.docx

SpringSecurity使用和分析.docx

SpringSecurity+oauth2+jwt.docx

Apache_cxf_学习笔记.docx

HAP框架与HETF操作指南（全）

干货合集 - 数据中台开发与建设技术资料合集.zip

【HAP框架】中台技术资料.zip

基于OAuth2和Spring Boot的通信应用.docx

spring oauth2获取当前登录用户信息.docx

OAuth2.0单元测试解决方案.docx

三十五个常见的Spring Boot知识点.docx

OAuth2.0分布式系统环境搭建.docx

XFire开发webservice服务和客户端全攻略.docx

CXF-WebService-开发指南、技术文档.docx

免费开源的权限管理系统.docx

微服务架构的整套解决方案.docx

java SSM网上书店系统论文报告.docx

从为什么要重构到微服务架构.docx

2018年java毕业设计开题报告-范文模板 (5页).docx

spring security oauth2整合的代码汇总，一共包括5个资料

spring acegi 详细文档

SpringBoot2.0文档代码

基于springboot框架的社交系统.zip

Nuvu：Prueba Tecnica

ssi登陆验证

Notepad++安装包

安卓期末大作业（AndroidStudio开发），垃圾分类助手app，分为前台后台，代码有注释，均能正常运行

RocketMQ 可视化工具 Dashboard下载

微信小程序源码-合集1.rar

SwitchHosts

最新资源