Spring security 3 菜鸟笔记之hello world

<?xml version="1.0" encoding="UTF-8"?><web-app version="2.4" xmlns="http://java.sun.com/xml/ns/j2ee" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://java.sun.com/xml/ns/j2ee http://java.sun.com/xml/ns/j2ee/web-app_2_4.xsd"> <welcome-file-list> <welcome-file>index.jsp</welcome-file> </welcome-file-list> <context-param> <param-name>contextConfigLocation</param-name> <param-value> classpath:config/application*.xml </param-value> </context-param> <context-param> <param-name>log4jConfigLocation</param-name> <param-value>classpath:config/log4j.properties</param-value> </context-param> <context-param> <param-name>webAppRootKey</param-name> <param-value>arch.root</param-value> </context-param> <listener> <listener-class>org.springframework.web.util.Log4jConfigListener</listener-class> </listener> <listener> <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class> </listener> <!-- - Publishes events for session creation and destruction through the application - context. Optional unless concurrent session control is being used. --> <listener> <listener-class>org.springframework.security.web.session.HttpSessionEventPublisher</listener-class> </listener> <filter> <filter-name>springSecurityFilterChain</filter-name> <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class> </filter> <filter-mapping> <filter-name>springSecurityFilterChain</filter-name> <url-pattern>/*</url-pattern> <dispatcher>FORWARD</dispatcher> <dispatcher>REQUEST</dispatcher> </filter-mapping> <filter> <filter-name>struts</filter-name> <filter-class>org.apache.struts2.dispatcher.ng.filter.StrutsPrepareAndExecuteFilter</filter-class> </filter> <filter-mapping> <filter-name>struts</filter-name> <url-pattern>/*</url-pattern> </filter-mapping></web-app>application-sccurity.xml<beans:beans xmlns="http://www.springframework.org/schema/security" xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-3.0.xsd http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-3.0.xsd"> <!-- Web/HTTP安全 - 最复杂的部分。设置过滤器和相关的服务bean来应用框架验证机制， 保护URL，渲染登录和错误页面还有更多。 业务类（方法）安全 - 可选的安全服务层。 AuthenticationManager - 通过框架的其它部分，处理认证请求。 AccessDecisionManager - 提供访问的决定，适用于web以及方法的安全。一个默认的主体会被注册，但是你也可以选择自定义一个，使用正常的spring bean语法进行声明。 AuthenticationProviders - 验证管理器验证用户的机制。 该命名空间提供几种标准选项，意味着使用传统语法添加自定义bean。 UserDetailsService - 密切相关的认证供应器，但往往也需要由其他bean需要。 --> <!-- URL保护 web安全服务配置 auto-config="true" 意味着一此服务已经自动添加进来了，如：表单登录和"remember-me"服务 相当于以下配置 <http> <form-login /> <http-basic /> <logout /> </http> use-expressions="true" 表示在计算角色时使用表达式 此时 直接写ROLE_USER 是不支持的 auto-config="true" 包含的过滤器如下： 1 org.springframework.security.context.HttpSessionContextIntegrationFilter 位于过滤器链顶端 作用：(1) 判断session是否存在SecurityContext 如果有取出存放在SecurityContextHolder 中 如果没有就创建一个共Spring security 后面使用 (2) 执行完毕后， 清空SecurytContextHolder 中的内容,SecurytContext 采用ThreadLocal 的形式存放在SecurityContextHolder 中 2 org.springframework.security.ui.logout.LogoutFilter 处理 /j_spring_security_logout 注销请求 清空session和SecurityContextHolder 结合 RememberMe 清空Cookie 3 org.springframework.security.ui.webapp.AuthenticationProcessingFilter 处理登录请求 /j_spring_security_check 登录表单提交请求 验证用户有的合法性 4 org.springframework.security.ui.webapp.DefaultLoginPageGeneratingFilter 处理/spring_security_login请求，生成一个默认的登录界面 5 org.springframework.security.ui.basicauth.BasicProcessingFilter 进行 HttpBasic 认证 6 org.springframework.security.wrapper.SecurityContextHolderAwareRequestFilter 包装客户端请求 7 org.springframework.security.ui.rememberme.RememberMeProcessingFilter 提供Cookie 功能 8 org.springframework.security.providers.anonymous.AnonymousProcessingFilter 匿名访问的处理 分配匿名访问用户的权限 9 org.springframework.security.ui.ExceptionTranslationFilter 捕获FilterSecurityInterceptor抛出的异常，Error画面定向 10 SessionFixationProtectionFilter 防止session固化攻击 11 org.springframework.security.intercept.web.FilterSecurityInterceptor 是所有过滤器的控制中心 1 用户尚未登录 抛出 AuthenticationCredentialsNotFoundException 尚未认证 2 用户已经登录，但没有访问权限 抛出 AccessDeniedException 拒绝访问 3 如果已登录，有权限放行 --> <http auto-config="true"> <intercept-url pattern="/login.jsp*" access="IS_AUTHENTICATED_ANONYMOUSLY"/> <intercept-url pattern="/admin/**" access="ROLE_ADMIN" /> <intercept-url pattern="/**" access="ROLE_USER" /> <!-- <form-login login-page='/login.jsp' login-processing-url="/login" authentication-failure-url="/error.jsp" default-target-url='/common/common.jsp' always-use-default-target='true' /> --> <!-- 自定义登录页面 <intercept-url pattern="/login.jsp*" access="IS_AUTHENTICATED_ANONYMOUSLY"/> <intercept-url pattern="/**" access="ROLE_USER" /> <form-login login-page='/login.jsp'/> 也可以覆盖auto-config=true的配置 <http auto-config='true'> <intercept-url pattern="/css/**" filters="none"/> <intercept-url pattern="/login.jsp*" filters="none"/> <intercept-url pattern="/**" access="ROLE_USER" /> <form-login login-page='/login.jsp'/> </http> <remember-me /> <session-management invalid-session-url="/timeout.jsp"> <concurrency-control max-sessions="1" error-if-maximum-exceeded="true" /> </session-management> --> </http> <!-- 用户认证管理 用户信息也可能通过user-service 的properties 属性 --> <authentication-manager> <authentication-provider> <!-- <jdbc-user-service data-source-ref="dataSource"/> 使用数据库认证 --> <user-service> <user name="jimi" password="jimi" authorities="ROLE_USER,ROLE_ADMIN"/> <user name="bob" password="bob" authorities="ROLE_USER"/> </user-service> </authentication-provider> </authentication-manager></beans:beans>