Spring源代码解析(九)：Spring_Acegi框架鉴权的实现.doc

在Spring框架中，Acegi（现在已经演变为Spring Security）是一个强大的安全管理组件，它提供了认证、授权等核心安全功能。在Spring_Acegi框架鉴权的实现中，我们主要关注的是如何处理用户的登录验证以及在验证成功或失败后系统如何响应。 Spring_Acegi通过实现Servlet的`Filter`接口来介入HTTP请求的生命周期。`AuthenticationProcessingFilter`是Acegi中的一个关键过滤器，它负责启动Web页面的验证过程。在`doFilter`方法中，该过滤器会检查请求和响应是否为`HttpServletRequest`和`HttpServletResponse`实例，因为Acegi只处理HTTP请求。如果类型不匹配，将抛出`ServletException`。 当请求和响应符合要求时，`AuthenticationProcessingFilter`会调用`requiresAuthentication`方法来判断当前请求是否需要进行身份验证。如果需要，那么系统会尝试进行用户验证。这个过程由`attemptAuthentication`方法完成，它通常由子类如`AuthenticationProcessingFilter`具体实现，处理基于Web页面的用户登录验证，例如检查用户名和密码。 在`attemptAuthentication`方法中，如果认证失败，将会调用`unsuccessfulAuthentication`方法，该方法可能包含向用户显示错误消息或者重定向到登录页面的操作。相反，如果认证成功，`AuthenticationProcessingFilter`会调用`successfulAuthentication`方法，执行验证成功的后续操作，比如设置会话中的认证对象，更新请求和响应，或者重定向用户到指定的受保护资源。 `Authentication`对象在Spring Security中扮演着核心角色，它包含了关于用户的身份验证信息，如用户名、密码、权限等。在验证过程中，`Authentication`对象被用来存储验证结果，无论是成功还是失败。 此外，`onPreAuthentication`方法允许在尝试验证之前执行一些自定义逻辑，而`continueChainBeforeSuccessfulAuthentication`变量则决定了在验证成功前是否继续执行过滤链。这提供了一种灵活的方式，让开发者可以定制在验证发生之前的和之后的行为。 总结来说，Spring_Acegi框架通过`Filter`机制实现了Web应用的鉴权流程。`AuthenticationProcessingFilter`作为关键组件，负责处理请求的认证，而`Authentication`对象则是承载用户身份验证信息的核心实体。通过这种方式，Spring Security提供了一个强大且可扩展的安全管理解决方案，能够有效地保护应用程序免受非法访问。