[DELVE][web]基于angular js的Spring security验证

REQUIREMENT

现在做的项目，前台是angular js，后台是基于spring的java web。
两者是完全分离开的。身份验证是首次传入帐后密码，之后用token进行验证。

Spring security的默认配置是应用在jsp条件，前后台耦合的情况下。适用于前后分离框架的spring-security配置需要花番功夫。

stackoverflow上的一个提问
github上基于rest的spring-security配置示例工程

STEPS

之前我的项目中已经实现了spring，mybatis和aop，接下来与spring架构本身有关的配置忽略了哈，这里只讨论在原有的spring配置基础上加入spring-security。

0、引入包，通过maven添加dependency，其他引入方式见官方文档

<dependency>    <groupId>org.springframework.security</groupId>    <artifactId>spring-security-web</artifactId>    <version>4.0.4.RELEASE</version></dependency><dependency>    <groupId>org.springframework.security</groupId>    <artifactId>spring-security-config</artifactId>    <version>4.0.4.RELEASE</version></dependency>

1、web.xml 配置—加入filter

<filter>    <filter-name>springSecurityFilterChain</filter-name>    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class></filter><filter-mapping>    <filter-name>springSecurityFilterChain</filter-name>    <url-pattern>/*</url-pattern></filter-mapping>

2、web.xml 配置—设置spring-security的配置文件路径

<!--spring-security的配置文件的路径设置必须放在这里，试了下放<servlet>下配置会报错--><context-param>    <param-name>contextConfigLocation</param-name>    <param-value>classpath:spring-security.xml</param-value></context-param><listener>    <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class></listener>

3、spring-security.xml文件内容。一些可能会用到的功能我做了注释。

<?xml version="1.0" encoding="UTF-8"?><beans:beans xmlns="http://www.springframework.org/schema/security"    xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"    xsi:schemaLocation="http://www.springframework.org/schema/beans        http://www.springframework.org/schema/beans/spring-beans-4.0.xsd        http://www.springframework.org/schema/security        http://www.springframework.org/schema/security/spring-security-4.0.xsd">    <http use-expressions="true" auto-config="false" entry-point-ref="CustomAuthenticationEntryPoint">    <!--    自定义所有返回报文的header            <headers >            <header name="customerHeaderName" value="customerHeaderValue"/>        </headers>        对固定模式的url访问进行权限控制，url命名风格为ant        <intercept-url pattern="/user/**" access="hasIpAddress('192.168.1.0/24')" />        -->        <custom-filter ref="authenticationTokenProcessingFilter"            position="PRE_AUTH_FILTER" />    </http>    <beans:bean id="CustomAuthenticationEntryPoint"        class="com.wnlo.ams.controller.common.CustomAuthenticationEntryPoint" />    <beans:bean id="authenticationTokenProcessingFilter"        class="com.wnlo.ams.controller.common.AuthenticationTokenProcessingFilter"        />    <authentication-manager alias="authenticationManager" erase-credentials="true"/>    <!-- 允许使用@Secured注解 -->    <global-method-security secured-annotations="enabled">        <!-- 对指定范围的包进行权限控制 -->        <!-- <protect-pointcut access="" expression="execution(* com.mycompany.*Service.*(..))"/> -->    </global-method-security></beans:beans>

4.spring-security.xml的配置中最重要的就是两个bean，代码贴出来太麻烦了，链接如下。
CustomAuthenticationEntryPoint
authenticationTokenProcessingFilter

5.这样就ok了，程序已经可以进行测试。
在方法上加@secured注解控制对方法的访问权限，如:@secured(“ROLE_ADMIN”)表示只有拥有ADMIN权限的用户才能访问。
用spring-security.xml中的intercept-url关键字控制对特定url的访问权限，这个上文有示例。
通过修改authenticationTokenProcessingFilter.java我们可以自定义根据客户端发送的token，赋予访问者相应的权限。
通过修改CustomAuthenticationEntryPoint.java我们可以自定权限验证未通过后的处理办法。
至此大体的用户赋权和对权限的控制框架已经搭好了，更多spring-security配置的内容可以去看官方文档，这里就不再说啦。