使用Spring Security开发安全的Java程序.pdf

【Spring Security 框架详解】 Spring Security 是一个强大的、高度可定制的 Java 安全框架，用于构建安全的企业级应用程序。它取代了之前的 Acegi 安全框架，并且提供了许多增强的功能，如简化配置、OpenID 支持、Windows NTLM 单点登录、JSR 250 安全注解以及AspectJ 切点表达式语言等。这些特性使得开发者能够更加高效地处理应用程序的安全需求。 **1. 示例应用架构** 在示例应用中，存在两个角色：管理员和普通用户，每个角色具有不同的目录访问权限。用户信息是从数据库中获取的。通过一个具体的例子，我们可以了解到如何在Spring 2.5和Spring Security 2.0.4环境中使用Spring Security。该框架可以支持Java 1.4及更高版本的环境，包括Java 5.0。 **2. Spring Security 安全配置** **2.1 web.xml 配置** **2.1.1 SpringSecurityFilter的配置** 在web.xml文件中，我们需要添加一个名为`springSecurityFilterChain`的过滤器，其类为`org.springframework.web.filter.DelegatingFilterProxy`，URL模式为`/*`。这个配置使得Spring Security的web机制可以处理所有请求。 ```xml <filter> <filter-name>springSecurityFilterChain</filter-name> <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class> </filter> <filter-mapping> <filter-name>springSecurityFilterChain</filter-name> <url-pattern>/*</url-pattern> </filter-mapping> ``` `DelegatingFilterProxy`是Spring框架提供的类，它会代理应用上下文中定义的Spring Bean实现的过滤器。在这个例子中，Bean的名字是`springSecurityFilterChain`，这是由Spring Security命名空间自动创建的，用于处理web安全的内部机制。 **2.1.2 Spring ContextLoaderListener的配置** 此外，还需要配置`ContextLoaderListener`和上下文参数，如下： ```xml <context-param> <param-name>contextConfigLocation</param-name> <param-value>/WEB-INF/spring-security.xml</param-value> </context-param> <listener> <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class> </listener> ``` 这里，`contextConfigLocation`参数指定了Spring Security的配置文件位置，通常位于`/WEB-INF/spring-security.xml`。 **3. Spring Security 配置文件（spring-security.xml）** 在`spring-security.xml`文件中，我们将定义用户认证和授权的规则。例如，我们可以配置用户名/密码的认证方式，定义角色和权限映射，以及设置访问控制规则。 ```xml <http auto-config="true"> <intercept-url pattern="/admin/**" access="hasRole('ROLE_ADMIN')" /> <intercept-url pattern="/**" access="permitAll" /> <form-login login-page="/login" default-target-url="/home" authentication-failure-url="/login?error" /> <logout logout-url="/logout" logout-success-url="/login?logout" /> </http> <authentication-manager> <authentication-provider> <jdbc-user-service data-source-ref="dataSource" users-by-username-query="SELECT username, password, enabled FROM users WHERE username=?" authorities-by-username-query="SELECT username, authority FROM user_roles WHERE username = ?" /> </authentication-provider> </authentication-manager> ``` 在这个配置中，`<http>`元素定义了URL拦截规则，`<authentication-manager>`则配置了认证管理器，使用`jdbc-user-service`从数据库中获取用户信息进行认证。 **4. 总结** Spring Security 提供了一套完整的安全解决方案，不仅简化了安全配置，还支持多种认证和授权机制。通过实例化和配置相关的XML文件，我们可以轻松地集成用户认证、授权和访问控制到我们的Java应用程序中。相较于Acegi，Spring Security 提供了更多的特性，如对最新Java版本的支持，更丰富的API和扩展性，使其成为现代Java EE应用开发中首选的安全框架。