SpringSecurity最基本的配置使用

一、配置web.xml

在web.xml中配置一个spring提供的过滤器springSecurityFilterChain，并且mapping这个过滤器让所有的url请求都经过这个过滤器；

<filter><filter-name>springSecurityFilterChain</filter-name><filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class></filter><filter-mapping><filter-name>springSecurityFilterChain</filter-name><url-pattern>/*</url-pattern></filter-mapping>

二、配置Security的xml

可以在普通的applicationContext.xml中配置，最好是新建一个专门配置SpringSecurity的xml。注意web.xml中的<context-param>可以扫描到自己配置的applicationContext-security.xml。

applicationContext-security.xml清单·：

<?xml version="1.0" encoding="UTF-8"?><beans:beans xmlns="http://www.springframework.org/schema/security"xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-3.0.xsd                        http://www.springframework.org/schema/security                         http://www.springframework.org/schema/security/spring-security-3.1.xsd"><http auto-config="true"><intercept-url pattern="/**" access="ROLE_USER" /></http><authentication-manager><authentication-provider><user-service><user name="admin" password="admin" authorities="ROLE_USER,ROLE_ADMIN"/><user name="shenggang" password="shenggang" authorities="ROLE_USER"/></user-service></authentication-provider></authentication-manager></beans:beans>

注意：这里的web安全服务是通过<http>元素进行配置的。下面详细解释具体关键配置代码：

<http auto-config="true"><intercept-url pattern="/**" access="ROLE_USER" /></http>

<http>元素是所有web相关的命名空间的上级元素，这里拦截了所有的请求url，并且允许拥有ROLE_USER权限的人才能访问。

<http auto-config="true">其实是如下信息的缩写：

<http><span style="white-space:pre"></span><from-login/><span style="white-space:pre"></span><http-basic/><span style="white-space:pre"></span><logout/></http>

对应了登陆、浏览认证、注销。

可以自己指定登陆时的页面：

<http auto-config="true"><intercept-url pattern="/login.jsp*"/ access="IS_AUTHENTICATED_ANONYMOUSLY"><intercept-url pattern="/**" access="ROLE_USER" /><form-login login-page='/login.jsp'/></http>

指定的<form-login>元素会覆盖掉上面的默认选项，因此auto-config可以继续使用没有影响。由于需要通过自己定义的login.jsp去登陆，所以这个页面可不能被拦截，所以添加了一个<intercept-url>的标签，让这个页面放行。