Spring security登录原理

是UBA项目中的spring security登录原理

web应用启动，初始化

会初始化spring security的拦截器（好像也是职责链模式），在web.xml中：

<filter>    <filter-name>springSecurityFilterChain</filter-name>    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class></filter>

同时会实例化全部spring容器管理的bean，包括：

<bean id="filterSecurityInterceptor" class="org.springframework.security.intercept.web.FilterSecurityInterceptor">    <s:custom-filter before="FILTER_SECURITY_INTERCEPTOR" />    <property name="accessDecisionManager" ref="accessDecisionManager" />    <property name="objectDefinitionSource" ref="databaseDefinitionSource" /></bean> <!-- DefinitionSource工厂,使用resourceDetailsService提供的URL-授权关系. --><bean id="databaseDefinitionSource" class="org.springside.modules.security.springsecurity.DefinitionSourceFactoryBean">    <property name="resourceDetailsService" ref="resourceDetailsService" /></bean><!-- 项目实现的URL-授权查询服务 --><bean id="resourceDetailsService" class="com.ebupt.UBA.service.security.ResourceDetailsServiceImpl" /><!-- 授权判断配置, 将授权名称的默认前缀由ROLE_改为A_.--><bean id="accessDecisionManager" class="org.springframework.security.vote.AffirmativeBased">    <property name="decisionVoters">        <list>            <bean class="org.springframework.security.vote.RoleVoter">                <property name="rolePrefix" value="A_" />            </bean>            <bean class="org.springframework.security.vote.AuthenticatedVoter" />        </list>    </property></bean> 

在resourceDetailsService类中会读取全部的resource-authority映射map信息（用于之后查询用户是否有权限）：

/** * 从数据库查询URL--权限定义Map的实现类. *  */@Transactional(readOnly = true)public class ResourceDetailsServiceImpl implements ResourceDetailsService {    @Autowired    private SecurityManager securityManager;    /**     * @see ResourceDetailsService#getRequestMap()     */    public LinkedHashMap<String, String> getRequestMap() throws Exception {        List<Resource> resourceList = securityManager.getUrlResourceWithAuthorities();        LinkedHashMap<String, String> requestMap = new LinkedHashMap<String, String>(resourceList.size());        for (Resource resource : resourceList) {            requestMap.put(resource.getValue(), resource.getAuthNames());        }        return requestMap;    }}

输入localhost:8080/UBA

web应用默认主页是index.jsp：

<%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"    import="org.springside.modules.security.springsecurity.SpringSecurityUtils"%><%@include file="/common/taglibs.jsp"%><%    request.setAttribute("loginName",SpringSecurityUtils.getCurrentUserName());%><c:if test="${loginName == 'roleAnonymous'}"><jsp:forward page="/common/login.jsp"/></c:if><c:if test="${loginName != 'roleAnonymous'}"><jsp:forward page="/homepage/home-page.action"/></c:if>

看到这个默认页面导入了spring security的包
利用SpringSecurityUtils.getCurrentUserName()获取spring 容器中的UserName（当然一开始是没有登录的）。
如果UserName有效，那么跳转home-page.action
如果UserName无效，那么跳转login.jsp

login，跳转到login.jsp

这个是登录页面：

login.jsp主要是做很多校验工作，核心代码还是发送登录请求：

<form id="my_form" action="${ctx}/j_spring_security_check" method="post"><input type="text" value="" id="loginName" name="j_username" style="width:185px;height:18px;border:0px;"/><input type="password" value="" id="password" name="j_password" style="width:185px;height:16px;border:0px;"/><input type="text" value="" id="captcha" name="j_captcha" style="width:89px;height:15px;margin-top:2px;border:0px;"/></form>

发送请求给j_spring_security_check。
参数有j_username，j_password，j_captcha，这几个参数名字应该是不能变的，因为要调用spring security的验证。

spring根据输入的用户名获取用户信息

j_spring_security_check这个是spring security里面的约定。
applicationContext-security.xml中有

 <!-- 认证配置 --> <s:authentication-provider user-service-ref="userDetailsService">  <!-- 可设置hash使用sha1或md5散列密码后再存入数据库 -->  <s:password-encoder hash="md5" />  </s:authentication-provider> <bean id="userDetailsService" class="com.ebupt.UBA.service.security.UserDetailsServiceImpl" /> 

之后会回调UserDetailsServiceImpl的loadUserByUsername方法，
其中：

@Transactional(readOnly = true)public class UserDetailsServiceImpl implements UserDetailsService {    @Autowired    private SecurityManager securityManager;    /**     * 获取用户Details信息的回调函数.     */    public UserDetails loadUserByUsername(String userName) throws UsernameNotFoundException, DataAccessException {     String username;        if(userName.indexOf("re_")==0){            username=userName.replace("re_", "");       }else{           username=userName;       }        User user = securityManager.findUserByLoginName(username);        if (user == null)            throw new UsernameNotFoundException("用户" + username + " 不存在");        GrantedAuthority[] grantedAuths = obtainGrantedAuthorities(user);        // mras_d中无以下属性,暂时全部设为true.        boolean enabled = true;        boolean accountNonExpired = true;        boolean credentialsNonExpired = true;        boolean accountNonLocked = true;        String pwd=user.getPassword();        if(userName.indexOf("re_")==0){                         Md5PasswordEncoder md = new Md5PasswordEncoder();                  System.out.println( md.encodePassword("1qaz2wsx",null));                  pwd=md.encodePassword(pwd,null);        }        org.springframework.security.userdetails.User userdetail = new org.springframework.security.userdetails.User(                user.getLoginName(), pwd, enabled, accountNonExpired, credentialsNonExpired,                accountNonLocked, grantedAuths);        return userdetail;    }    /**     * 获得用户所有角色的权限集合.     */    private GrantedAuthority[] obtainGrantedAuthorities(User user) {        Set<GrantedAuthority> authSet = new HashSet<GrantedAuthority>();        for (Role role : user.getRoles()) {            for (Authority authority : role.getAuthorities()) {                authSet.add(new GrantedAuthorityImpl(authority.getName()));            }        }        return authSet.toArray(new GrantedAuthority[authSet.size()]);    }}

这里根据用户的名字获取了用户密码等信息，new 了一个User类返回，中间存放了若干信息：用户名，密码，还有用户的全部权限名字。

new org.springframework.security.userdetails.User(                user.getLoginName(), pwd, enabled, accountNonExpired, credentialsNonExpired,                accountNonLocked, grantedAuths);

然后我理解的是spring security自己会比对用户的密码，如果正确，那么就会跳转至登录前的拦截页面（一开始的拦截页面应该是index.jsp，也就是home-page.action，其他的拦截页面就是在UBA_RESOURCE中的页面，之前输入的是啥就是啥）。

没有登录或者已经登录的情况下输入某个url

应该是被spring security的拦截器拦截了，我理解是DelegatingFilterProxy 。
拦截后根据容器中一开始查询出的资源权限映射关系，查询该url所需要的权限，和用户全部的权限进行比对。
如果用户满足了这些权限，跳转到该页面
如果用户没有满足这些权限，跳转到登录页面（这里做的有问题，因为UBA这个项目比较简单，一般是一个用户有超级权限，其他人都用这个用户来登。如果是多个用户有不同权限时，应该是跳转到”您没有权限“页面）。

spring security里的配置还是不太懂（还要琢磨琢磨）：

<s:http auto-config="true" access-decision-manager-ref="accessDecisionManager">    <s:intercept-url pattern="/common/login.jsp" access="IS_AUTHENTICATED_ANONYMOUSLY" />      <s:form-login login-page="/common/login.jsp" default-target-url="/"        authentication-failure-url="/common/login.jsp?error=true" />    <s:logout logout-success-url="/common/login.jsp" />    <s:remember-me />    <!-- key="e37f4b31-0c45-11dd-bd0b-0800200c9a66"--> </s:http>

还有，用户在输入一个url的时候，如何判断这个url是一个资源？spring security默认url就是资源？还是要配置什么？
在spring security的拦截器拦截用户请求没有登录之后，就不会再走struts的拦截器了。
尝试在去掉web.xml中的springSecurityFilterChain后，用户可以不登录就进系统了。

在一个浏览器中登录后，这时用另外一个浏览器再进系统，需要登录吗？

试过是需要的，因为http request默认会带上session Id（如果有的话），所以spring security的实现其实是通过session Id 来获取出之前web 容器中的User实例的。
所以在web容器中可能有多个实例，如果是不同用户登录的话。

未完成

1、尝试在项目中修改数据库，配置用户的权限，尝试有不同用户不同权限登录场景。
2、自己手写一个分布式web应用，使用spring security实现登录效果。

参考

Spring Security原理及教程