SpringSecurity3.0安全权限管理手册资源-CSDN文库

4星 · 超过85%的资源需积分: 9 129 浏览量 2011-05-16 20:07:15 上传评论收藏 262KB DOC 举报

Spring Security 3.0 安全权限管理手册(最新)，可以作为公司权限管理资料用，权限管理将是系统中的非常重要的一个模块，权限的设计也是参考相关资料进行整理和补充。系统将通过数据库进行管理用户权限 ### Spring Security 3.0 安全权限管理手册 #### 一、引言随着互联网技术的迅猛发展，系统的安全性成为越来越受关注的话题。在众多安全框架中，Spring Security 因其灵活性、可扩展性以及丰富的特性而备受青睐。本手册旨在介绍Spring Security 3.0版本中的安全权限管理功能，帮助开发者更好地理解和使用该框架。 #### 二、Spring Security 3.0 安全权限管理概述 Spring Security 是一个强大的、高度可定制的安全框架，用于保护基于Java的应用程序。它提供了许多开箱即用的功能，如认证、授权、会话管理等，并且这些功能可以根据具体需求进行定制。Spring Security 3.0 版本相较于之前的版本，在性能和功能性方面有了显著提升。 #### 三、核心概念解析 ##### 1. 区分 Authentication（验证）与 Authorization（授权） - **Authentication**（验证）：确认用户的身份。主要包括确认用户是谁以及用户身份的可靠性。例如，验证用户名和密码的正确性。 - **Authorization**（授权）：基于用户的身份决定用户可以访问哪些资源或执行哪些操作。例如，判断用户是否有权限访问某个特定页面或者执行某个操作。 ##### 2. Spring Security 中的验证特点 - **支持多种验证方式**：如HTTP基本认证、表单认证等。 - **支持多种加密格式**：包括MD5、SHA-256等。 - **支持组件的扩展和替换**：可以根据需求自定义认证处理逻辑。 - **可以本地化输出信息**：支持国际化，可以根据不同地区显示不同的语言。 ##### 3. Spring Security 中的授权特点 - **支持多种仲裁方式**：如基于角色的访问控制(RBAC)、基于属性的访问控制(ABAC)等。 - **支持组件的扩展和替换**：可以自定义授权策略。 - **支持对页面访问、方法访问、对象访问的授权**：通过不同的配置，可以在多个层面实施细粒度的访问控制。 #### 四、Spring Security 3.0 核心安全实现 ##### 1. Web 安全 - **通过配置 Servlet Filter 激活 Spring Security 中的过滤器链**：这可以确保所有请求都经过安全处理。 - **实现 Session 一致性验证**：确保每个会话都是安全的。 - **实现免登录验证 (Remember-Me 验证)**：允许用户在一定时间内无需重复登录。 - **提供一系列标签库进行页面元素的安全控制**：如`<sec:authorize>`、`<sec:authentication>`等标签，可以轻松控制页面元素的显示。 ##### 2. 方法安全 - **通过 AOP 模式实现安全代理**：利用面向切面编程(AOP)的技术实现方法级别的访问控制。 - **Web 安全与方法安全均可以使用表达式语言定义访问规则**：使用表达式语言（如 SpEL）来定义复杂的访问控制规则。 #### 五、Spring Security 的配置 ##### 1. 配置 Web.xml，应用安全过滤器在 `Web.xml` 文件中配置 Spring Security 的过滤器，确保所有请求都经过安全处理。 ```xml <filter> <filter-name>springSecurityFilterChain</filter-name> <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class> </filter> <filter-mapping> <filter-name>springSecurityFilterChain</filter-name> <url-pattern>/*</url-pattern> </filter-mapping> ``` ##### 2. 配置 Spring，验证与授权部分在 Spring 配置文件中设置安全相关的bean，定义验证和授权的规则。 ```xml <beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:security="http://www.springframework.org/schema/security" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security.xsd"> <security:http auto-config="true"> <security:intercept-url pattern="/admin/**" access="ROLE_ADMIN"/> <security:form-login login-page="/login" default-target-url="/home"/> <security:logout logout-success-url="/login?logout"/> </security:http> <security:authentication-manager> <security:authentication-provider user-service-ref="myUserDetailsService"> <security:password-encoder ref="passwordEncoder"/> </security:authentication-provider> </security:authentication-manager> <bean id="myUserDetailsService" class="com.example.security.MyUserDetailsService"/> <bean id="passwordEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder"/> </beans> ``` ##### 3. 在 web 页面中获取用户身份使用 Spring Security 提供的标签库获取当前登录用户的信息。 ```html <html xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity5"> <body> <h1>Welcome, <sec:authentication property="principal.username"/></h1> </body> </html> ``` ##### 4. 实现方法级安全在方法级别添加安全注解，控制方法的访问权限。 ```java @PreAuthorize("hasRole('ADMIN')") public void adminOnly() { // 只有管理员才能访问的方法 } ``` #### 六、数据库设计为了实现基于数据库的用户权限管理，通常需要设计几个基础表： 1. **用户表 (pub_users)** - 用户ID (`User_Id`)：主键，唯一标识每个用户。 - 登录用户名 (`user_account`)：用于用户登录。 - 用户姓名 (`User_name`)。 - 用户密码 (`user_Password`)。 - 是否禁用 (`Enabled`)：标识用户是否可用。 - 是否是超级用户 (`isSys`)：区分普通用户和超级用户。 - 描述 (`user_DESC`)：记录其他相关信息。 2. **权限表 (pub_authorities)** - 权限ID (`authority_Id`)：主键。 - 权限名称 (`Authority_name`)。 - 权限描述 (`Authority_DESC`)。 - 是否禁用 (`Enabled`)。 - 是否是超级权限 (`isSys`)。 3. **角色表 (pub_roles)** - 角色ID (`role_Id`)：主键。 - 角色名称 (`role_name`)。 - 角色描述 (`role_DESC`)。 - 是否禁用 (`Enabled`)。 - 是否是超级权限 (`isSys`)。 4. **资源表 (pub_resources)** - 资源ID (`resource_Id`)：主键。 - 资源名称 (`resource_name`)。 - 资源类型 (`resource_type`)：如URL、方法等。 - 优先级 (`priority`)：用于排序。 - 资源链接 (`resource_string`)。 - 资源描述 (`resource_DESC`)。 - 是否禁用 (`Enabled`)。 - 是否是超级权限 (`isSys`)。 #### 七、总结 Spring Security 3.0 为开发者提供了一套强大且灵活的安全解决方案。通过对核心概念的理解和实际应用的配置，开发者可以构建出既安全又高效的应用程序。结合数据库设计，可以实现更加细致的权限管理，确保系统在安全的同时也能够满足业务需求。

资源推荐

资源详情

资源评论

Spring Security 3.0 安全权限管理手册

参考文献：

1、www.family168.com

中的

spring security 权限管理手册。

2、spring security3.0 权限管理手册

3、spring 的相关资料。

本文档内容仅仅作为公司权限管理资料用，对于企业来说，权限管理将是

系统中的非常重要的一个模块，权限的设计也是参考相关资料进行整理和补充。

系统将通过数据库进行管理用户权限。

权限管理搭建要的问题：

1、区分 Authentication（验证）与 Authorization（授权）

验证

这个用户是谁？

用户身份可靠吗？

授权

某用户 A 是否可以访问资源 R

某用户 A 是否可以执行 M 操作

某用户 A 是否可以对资源 R 执行 M 操作

2、SS 中的验证特点

支持多种验证方式

支持多种加密格式

支持组件的扩展和替换

可以本地化输出信息

3、SS 中的授权特点

支持多种仲裁方式

支持组件的扩展和替换

支持对页面访问、方法访问、对象访问的授权。

4、SS 核心安全实现

Web 安全

通过配置 Servlet Filter 激活 SS 中的过滤器链

实现 Session 一致性验证

实现免登陆验证（Remember-Me 验证）

提供一系列标签库进行页面元素的安全控制

方法安全

通过 AOP 模式实现安全代理

Web 安全与方法安全均可以使用表达式语言定义访问规则

5、配置 SS

配置 Web.xml，应用安全过滤器

配置 Spring，验证与授权部分

在 web 页面中获取用户身份

剩余24页未读，继续阅读

评论收藏

内容反馈

zgmzyr

2013-03-20

嗯，不错，但遗憾的是版本有点老了，如果版本新一点就更好了
云中漫步87

2014-07-21

内容不错，对于初学者的帮助很大，但是叫“手册”有点夸张。百度文库中有了，http://wenku.baidu.com/view/4ec7e324ccbff121dd368364.html
qijianchao

2012-06-22

这个和family168的《Spring Security 安全权限管理手册》不是一个东西，是参考family168而进行的项目搭建过程记录，也还不错，这个标题混淆了，不是一个东西
ffgames

2013-07-23

不错的文档，看了就明白是怎么回事了。