Spring Security（Spring安全框架）入门理解

来源：互联网发布：组合软件编辑：程序博客网时间：2024/06/03 18:45

Security 使用场景：不同用户不同操作。如：企业员工管理系统。

Spring Security 框架，完全基于servlet过滤器标准，这个框架内部没有使用任何框架做基础，他只是管理HttpServletRequest和HttpServletResponse，不用关心请求来之什么浏览器或者Ajax。Security 已启动就包含一批负责安全管理的过滤器。

Web 应用的安全性包括用户认证和用户授权两部分，用户验证指的是可不可以访问本系统，需要提供账号密码，由系统来完成这个认证。用户授权指的是用户是否有权利执行某个操作。

下面使用的是 spring restful + My batis

添加一个过滤器，放到其它过滤器前面。Security 使用的是Servlet规范中标准的过滤器机制。过滤器是链条的方式来过滤。

    <filter>          <filter-name>springSecurityFilterChain</filter-name>          <filter-class>              org.springframework.web.filter.DelegatingFilterProxy           </filter-class>      </filter>    <filter-mapping>          <filter-name>springSecurityFilterChain</filter-name>          <url-pattern>/*</url-pattern>      </filter-mapping>

用户相关信息通过UserDetailsService 接口来加载的，该接口有一个唯一方法loadUserByUsername 用来加载相关信息，返回类型UserDetails。（Spring提供的有JdbcDaoImpl类来支持从数据库中加载用户信息，开发人员需要该类兼容的数据库表结构，就不需要任何改动，而直接使用该类）我们用My Batis 连接数据库。

<bean id="configBean" class="org.springframework.beans.factory.config.PropertyPlaceholderConfigurer"><property name="locations"><list><value>classpath:database.properties</value></list></property></bean> <bean id="dataSource" class="org.apache.commons.dbcp.BasicDataSource"destroy-method="close"><property name="driverClassName" value="${driver}" /><property name="url"value="${url}" /><property name="username" value="${username}" /><property name="password" value="${password}" /></bean>  <context:annotation-config /><context:component-scan base-package="com.*" /><tx:annotation-driven /><!-- 事务管理器 --> <bean id="transactionManager"class="org.springframework.jdbc.datasource.DataSourceTransactionManager"><property name="dataSource" ref="dataSource" /></bean>  <!-- 创建SqlSessionFactory -->  <bean id="sqlSessionFactory" class="org.mybatis.spring.SqlSessionFactoryBean"><property name="dataSource" ref="dataSource" /><property name="configLocation" value="classpath:mybatis-config.xml"/> <property name="typeAliasesPackage" value="com.entity" /> <property name="mapperLocations" value="classpath*:com/mapper/*.xml"/> </bean> <!-- 自动扫描映射器 --> <bean class="org.mybatis.spring.mapper.MapperScannerConfigurer"><property name="basePackage" value="com.mapper" /></bean>  <!-- 注入 -->  <bean id="sqlSession" class="org.mybatis.spring.SqlSessionTemplate"><constructor-arg index="0" ref="sqlSessionFactory" /><constructor-arg index="1" value="BATCH" /> </bean>

配置URL模式访问权(Spring Security 2.0 和 3.0 配置有些差别，你需要注意)

        <security:intercept-url pattern="/hello*" access="hasRole('ROLE_ADMIN','ROLE_USER')"/><security:intercept-url pattern="/auth/login" access="permitAll"/><security:intercept-url pattern="/main/admin" access="hasRole('ROLE_ADMIN')"/><security:intercept-url pattern="/main/common" access="hasRole('ROLE_USER')"/>

hashRole这种格式 3.0以后有的，ROLE_* 这种验证时规定好的，后面的用户名，你需要在方法中定义

上面说那么多主要就是脑袋里有个概念，下面是案例，和入门文档

http://download.csdn.net/detail/uniquelike/7633989

0 0