Spring安全权限管理（Spring Security）

1.Spring Security简要介绍

Spring Security之前叫作acegi，是后来才成为Spring的一个子项目，也是目前最为流行的一个安全权限管理框架，它与Spring紧密结合在一块儿。

Spring Security关注的重点是在企业应用安全层为您提供服务，你将发现业务问题领域存在着各式各样的需求。银行系统跟电子商务应用就有很大的不一样。电子商务系统与企业销售自动化工具又有很大不一样。这些客户化需求让应用安全显得有趣，富有挑战性并且物有所值。Spring Security为基于J2EE的企业应用软件提供了一套全面的安全解决方案。

 

2.为Spring Security配置过滤器和其余参数

要使用Spring Security，首先就是在web.xml中为它配置过滤器， 其次由于个人spring配置文件是放在WEB-INF下的，所以还要配置上下文的参数，最后添加spring的监听器：

<?xml version="1.0" encoding="UTF-8"?>
<web-app version="2.5" xmlns="http://java.sun.com/xml/ns/javaee"
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://java.sun.com/xml/ns/javaee   http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd">
	<!-- 配置上下文参数,指定spring配置文件的位置 -->
	<context-param>
		<param-name>contextConfigLocation</param-name>
		<param-value>/WEB-INF/spring-*.xml</param-value>
	</context-param>
	<!-- spring security必须的过滤器,保证在访问全部的页面时都必须经过认证 -->
	<filter>
		<filter-name>springSecurityFilterChain</filter-name>
		<filter-class>
			org.springframework.web.filter.DelegatingFilterProxy
		</filter-class>
	</filter>
	<filter-mapping>
		<filter-name>springSecurityFilterChain</filter-name>
		<url-pattern>/*</url-pattern>
	</filter-mapping>
	<listener>
		<listener-class>
			org.springframework.web.context.ContextLoaderListener
		</listener-class>
	</listener>
	<welcome-file-list>
		<welcome-file>index.jsp</welcome-file>
	</welcome-file-list>
	<login-config>
		<auth-method>BASIC</auth-method>
	</login-config>
</web-app>

 

3.配置security(spring-security.xml)

<?xml version="1.0" encoding="UTF-8"?>
<!-- 这里必须使用security的命名空间,提供了beans这个假名 -->
<beans:beans xmlns="http://www.springframework.org/schema/security"
	xmlns:beans="http://www.springframework.org/schema/beans"
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-2.0.xsd
						http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-2.0.4.xsd">

	<!-- Spring Security采用就近原则,有多个约束时,从上至下只要找到第一条知足就返回,所以因该将最严格的约束放在最前面,而将最宽松的约束放在最后面.auto-config属性可让spring security为咱们自动配置几种经常使用的权限控制机制，包括form,anonymous, rememberMe等。固然你也能够手工配置。-->
	<http auto-config="true">
		<!-- 咱们利用intercept-url来判断用户须要具备何种权限才能访问对应的url资源，能够在pattern中指定一个特定的url资源，也能够使用通配符指定一组相似的url资源。例子中定义的两个intercepter-url，第一个用来控制对/security/**的访问，第二个使用了通配符/**，说明它将控制对系统中全部url资源的访问。 -->
		<intercept-url pattern="/security/**" access="ROLE_ADMIN" />
		<intercept-url pattern="/**" access="ROLE_ADMIN,ROLE_USER" />
		<intercept-url pattern="/login.jsp*" filters="none" />
		<logout logout-url="/logout.jsp"
			logout-success-url="/j_spring_security_check" />
	</http>

	<!-- 使用内存权限管理的配置信息, 在tomcat启动时,会加载这个文件并一直保存在内存中,知道应用程序重启,因此也叫内存权限管理
		<authentication-provider>
		<user-service>
		<user name="admin" password="tomcat" authorities="ROLE_ADMIN"/>
		<user name="liky" password="redhat" authorities="ROLE_USER"/>		
		</user-service>
		</authentication-provider>
	-->
	<!-- 使用数据库做为权限管理的来源,data-source-ref指定了数据源,所指定的数据源必须包含users, authorities表,并符合security的定义规范 -->
	<authentication-provider>
		<jdbc-user-service data-source-ref="dataSource" />
	</authentication-provider>

</beans:beans>

4.数据源的配置(spring-common.xml)

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-2.5.xsd">

	<!-- 定义数据源 -->
	<bean id="dataSource"
		class="org.apache.commons.dbcp.BasicDataSource">
		<property name="driverClassName"
			value="com.mysql.jdbc.Driver">
		</property>
		<property name="url" value="jdbc:mysql://localhost:3306/csu"></property>
		<property name="username" value="root"></property>
		<property name="password" value="redhat"></property>
		<property name="maxActive" value="100"></property>
		<property name="maxIdle" value="30"></property>
		<property name="maxWait" value="300"></property>
		<property name="defaultAutoCommit" value="true"></property>
	</bean>	
</beans>

 

 

5.项目的目录结构

 

6. 数据库脚本

/-- 注意这里的脚本是MYSQL的,所以在你演示这个实例的时候,要加入MySQL的驱动包 --/
 
create table users
(
username varchar(50) primary key,
password varchar(50),
enabled tinyint(1)
);

create table authorities
(
id int auto_increment primary key,
username varchar(50),
authority varchar(50),
constraint fk_authorities_users foreign key(username) references users(username)
);

create unique index ix_auth_username on authorities (username,authority);

7.部署和配置的要点说明

这是一个Spring Security的数据库认证明例,要注意如下几点:（1）请自行加入Spring必须的包,Spring security的包和MySQL的驱动包,固然你也能够换成其余的数据库,可是你要相应的修改spring-common.xml中的dataSource部分（2）数据库中的两个表users,authorites必须彻底按照脚本所示来定义,也就是说表的名字不能修改.（3）users表必须包含username,password,enabled字段,这三个字段是绝对不能少的,也不能修改类型.另外enabled必定要为1才能登陆（4）authorities表必须包含username字段,这个字段引用users的username做为外键,authority字段就是角色的名字,角色名字必须知足ROLE_XXX的格式(例如:ROLE_ADMIN,ROLE_USER,ROLE_MAMAGER)（5）若是一个用户有多个角色,不要将多个角色放在一块儿用逗号隔开.而是每一个角色定义一条记录(例如:abu有ROLE_ADMIN,ROLE_USER两个角色,那么应该定义两条记录: 一条为abu, ROLE_USER,另外一条为abu, ROLE_ADMIN.而不是只有一条:abu, ROLE_ADMIN,ROLE_USER)（6）你能够给authorities表添加一个id字段做为主键.