spring2.0 security与acegi的结合配置

2023-12-08 16:38
文章标签 配置 结合 security spring2.0 acegi

本文主要是介绍spring2.0 security与acegi的结合配置，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

一、web.xml的配置（摘自： http://blog.csdn.net/anyoneking/article/details/1748317）
(1)  FilterToBeanProxy
　　 Acegi通过实现了Filter接口的FilterToBeanProxy提供一种特殊的使用Servlet Filter的方式，它委托Spring 中的Bean -- FilterChainProxy来完成过滤功能，这好处是简化了web.xml的配置，并且充分利用了Spring IOC的优 势。FilterChainProxy包含了处理认证过程的filter列表，每个filter都有各自的功能。
 <filter>
   <filter-name>Spring Security Filter Chain Proxy</filter-name>
   <filter-class>org.acegisecurity.util.FilterToBeanProxy</filter-class>
   <init-param>
    <param-name>targetClass</param-name>
    <param-value>org.acegisecurity.util.FilterChainProxy</param-value>
   </init-param>
  </filter>
(2) filter-mapping
　　<filter-mapping>限定了FilterToBeanProxy的URL匹配模式,现在用/匹配所有URL。
   <filter-mapping>
   <filter-name>Spring Security Filter Chain Proxy</filter-name>
   <url-pattern>/*</url-pattern>
  </filter-mapping>
(3) HttpSessionEventPublisher
 ContextLoaderListener的作用就是启动Web容器时，自动装配ApplicationContext的配置信息。
　HttpSessionEventPublisher用于发布 HttpSessionApplicationEvents和HttpSessionDestroyedEvent事件给spring的 applicationcontext。
 <listener>
   <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>   
  </listener>
  <listener>
   <listener-class>org.acegisecurity.ui.session.HttpSessionEventPublisher</listener-class>
  </listener>
二、过滤器的配置(参考自 http://eryk.iteye.com/blog/626651  spring security 11种过滤器介绍 )
1、channelProcessingFilter
 请求通过ChannelProcessingFilter(通道处理过滤器，可选)。该过滤器负责检查当前请求的Channel，并判断是否已满足安全需要。如果不满足，则由非安全的通道传输(Http)重定向于安全的通道传输(Https)，以确保服务器与浏览器之间传输的数据加密。
  (1)、在filterChainProxy里面加上channelProcessingFilter
  <bean id="filterChainProxy" class="org.acegisecurity.util.FilterChainProxy">
  <property name="filterInvocationDefinitionSource">
   <value>
    CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
    PATTERN_TYPE_APACHE_ANT   /**=channelProcessingFilter,concurrentSessionFilter,httpSessionIntegrationFilter,logoutFilter,authenticationProcessingFilter,rememberMeProcessingFilter,anonymousProcessingFilter,exceptionTranslationFilter,filterSecurityInterceptor
   </value>
  </property>
 </bean>
  (2)、配置channelProcessingFilter
 <!-- 通道安全过滤器 -->
 <bean id="channelProcessingFilter" class="org.acegisecurity.securechannel.ChannelProcessingFilter">
  <property name="filterInvocationDefinitionSource">
   <value>
    CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
    PATTERN_TYPE_APACHE_ANT
    /login.jsp=REQUIRES_INSECURE_CHANNEL
    /j_acegi_security_check*=REQUIRES_INSECURE_CHANNEL
    /**=REQUIRES_INSECURE_CHANNEL
   </value>
  </property>
  <property name="channelDecisionManager" ref="channelDecisionManager"></property>
 </bean>
 <!-- 通道安全管理器 -->
 <bean id="channelDecisionManager" class="org.acegisecurity.securechannel.ChannelDecisionManagerImpl">
  <property name="channelProcessors">
   <list>
    <bean class="org.acegisecurity.securechannel.SecureChannelProcessor"></bean>
    <bean class="org.acegisecurity.securechannel.InsecureChannelProcessor"></bean>
   </list>
  </property>
 </bean>
2、concurrentSessionFilter
 concurrentSessionFilter用于限制用户重复登录。
 (1)、在filterChainProxy里面加上concurrentSessionFilter
 (2)、配置concurrentSessionFilter
 <bean id="concurrentSessionFilter" class="org.acegisecurity.concurrent.ConcurrentSessionFilter">
     <property name="sessionRegistry" ref="sessionRegistry" />
     <property name="expiredUrl" value="/login.jsp" />
  </bean>
  <bean id="sessionRegistry"  class="org.acegisecurity.concurrent.SessionRegistryImpl" />
  (3)、配置concurrentSessionController，阻止用户在进行了一次成功登录以后再进行一次成功的登录，maximumSessions属性配置了只允许同一个用户登录系统一次，exceptionIfMaximumExceeded属性配    置了在进行第二次登录时是否让第一次登录失效。设置为true不允许第二次登录，设置为false表示第二次登录成功的同时让第一次登录失效：
  <bean id="concurrentSessionController" class="org.acegisecurity.concurrent.ConcurrentSessionControllerImpl">
   <property name="maximumSessions" value="1"></property>
   <property name="sessionRegistry" ref="sessionRegistry"></property>
   <property name="exceptionIfMaximumExceeded" value="false"></property>
  </bean>
  (4)、配置concurrentSessionController，并在authenticationManager里面配置了一个名为sessionController的Bean，即对concurrentSessionController的引用：
 
  <bean id="authenticationManager" class="org.springframework.security.providers.ProviderManager">
      ...
      <property name="sessionController">
        <ref bean="concurrentSessionController"/>
      </property>
  </bean>
3、HttpSessionContextIntegrationFilter
 用途一，在执行其他过滤器之前，率先判断用户的session中是否已经存在一个SecurityContext了。如果存在，就把SecurityContext拿出来，放到SecurityContextHolder中，供Spring Security的其他部分使用。如果不存在，就创建一个SecurityContext出来，还是放到SecurityContextHolder中，供Spring Security的其他部分使用。
 用途二，在所有过滤器执行完毕后，清空SecurityContextHolder，因为SecurityContextHolder是基于ThreadLocal的，如果在操作完成后清空ThreadLocal，会受到服务器的线程池机制的影响。
 (1)、在filterChainProxy里面加上HttpSessionContextIntegrationFilter
 (2)、配置HttpSessionContextIntegrationFilter
  <!-- 安全上下文过滤器 -->
   <bean id="httpSessionIntegrationFilter" class="org.acegisecurity.context.HttpSessionContextIntegrationFilter"></bean>
4、logoutFilter
 只处理注销请求，默认为/j_spring_security_logout。
 用途是在用户发送注销请求时，销毁用户session，清空SecurityContextHolder，然后重定向到注销成功页面。可以与rememberMe之类的机制结合，在注销的同时清空用户cookie。
 (1)、在filterChainProxy里面加上logoutFilter
 (2)、配置logoutFilter
 <!-- 退出过滤器 -->
  <bean id="logoutFilter"  class="org.acegisecurity.ui.logout.LogoutFilter">
     <constructor-arg value="/login.jsp" />
     <constructor-arg>
       <list>
         <bean class="org.acegisecurity.ui.logout.SecurityContextLogoutHandler"/>
        </list>
     </constructor-arg>
   </bean>
5、authenticationProcessingFilter
 处理form登陆的过滤器，与form登陆有关的所有操作都是在此进行的。
 默认情况下只处理/j_spring_security_check请求，这个请求应该是用户使用form登陆后的提交地址，form所需的其他参数可以参考：
 此过滤器执行的基本操作时，通过用户名和密码判断用户是否有效，如果登录成功就跳转到成功页面（可能是登陆之前访问的受保护页面，也可能是默认的成功页面），如果登录失败，就跳转到失败页面。
 (1)、配置前端页面
 <form action="${pageContext.request.contextPath}/j_spring_security_check" style="width:260px;text-align:center;">
  <fieldset>
    <legend>登陆</legend>
    用户： <input type="text" name="j_username" style="width:150px;" value="${sessionScope['SPRING_SECURITY_LAST_USERNAME']}"/><br />
    密码： <input type="password" name="j_password" style="width:150px;" /><br />
    <input type="checkbox" name="_spring_security_remember_me" />两周之内不必登陆<br />
    <input type="submit" value="登陆"/>
    <input type="reset" value="重置"/>
  </fieldset>
 </form>
 /j_spring_security_check，提交登陆信息的URL地址。
 自定义form时，要把form的action设置为/j_spring_security_check。注意这里要使用绝对路径，避免登陆页面存放的页面可能带来的问题。
 j_username，输入登陆名的参数名称。
 j_password，输入密码的参数名称
  _spring_security_remember_me，选择是否允许自动登录的参数名称，可以直接把这个参数设置为一个checkbox，无需设置value，Spring Security会自行判断它是否被选中，与rememberMe机制结合使用。
  (2)、在filterChainProxy里面加上authenticationProcessingFilter
  (3)、配置authenticationProcessingFilter
  <!-- 表单认证过滤器 -->
 <bean id="authenticationProcessingFilter" class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilter">
  <property name="filterProcessesUrl" value="/j_acegi_security_check"></property><!--需要认证的URL-->
  <property name="authenticationFailureUrl" value="/login.jsp?login_err=1"></property><!--登录失败转向页面-->
  <property name="defaultTargetUrl" value="/admin.jsp"></property><!--登录成功转向页面-->
  <property name="authenticationManager" ref="authenticationManager"></property>
 </bean>
  (4)、配置认证管理器authenticationManager
  <!-- 认证管理器 -->
 <bean id="authenticationManager" class="org.acegisecurity.providers.ProviderManager">
  <property name="providers">
   <list>
    <ref bean="authenticationProvider"/>
   </list>
  </property>
 </bean>
 (5)、配置认证提供者authenticationProvider
 <bean id="authenticationProvider" class="org.acegisecurity.providers.dao.DaoAuthenticationProvider">
  <property name="userDetailsService" ref="userDetailsService"></property>
  <property name="passwordEncoder">
   <bean class="org.acegisecurity.providers.encoding.Md5PasswordEncoder"></bean>
  </property>
  <!--种子源是和密码结合进行md5加密的，默认为"密码{ABC123XYZ789}"-->
  <property name="saltSource">
   <bean class="org.acegisecurity.providers.dao.salt.SystemWideSaltSource">
    <property name="systemWideSalt" value="ABC123XYZ789"></property>
   </bean>
  </property>
  <property name="userCache">
   <bean class="org.acegisecurity.providers.dao.cache.EhCacheBasedUserCache">
    <property name="cache" ref="ehcache"></property>
   </bean>
  </property>
 </bean>
 <bean id="ehcache" class="org.springframework.cache.ehcache.EhCacheFactoryBean">
  <property name="cacheManager" ref="cacheManager"></property>
  <property name="cacheName" value="rantzCache"></property>
 </bean>
 <bean id="cacheManager" class="org.springframework.cache.ehcache.EhCacheManagerFactoryBean">
  <property name="configLocation" value="classpath:ehcache.xml"></property>
 </bean>
 <!-- 用户信息源（数据库） -->
  <bean id="userDetailsService" class="org.acegisecurity.userdetails.jdbc.JdbcDaoImpl">
  <property name="dataSource" ref="dataSource"></property>
  <property name="usersByUsernameQuery">
   <value>
    SELECT email as username,password,'1' as enabled <!-- enabled必须为数字，0表示false，1表示true -->
    FROM Motorist
    WHERE email = ?
   </value>
  </property>
  <property name="authoritiesByUsernameQuery">
   <value>
    SELECT email as username,privilege as authority
      FROM Motorist_privileges mp,Motorist m
      WHERE mp.motorist_id=m.id AND m.email=?
   </value>
  </property>
 </bean>
6、rememberMeProcessingFilter
 此过滤器实现RememberMe功能，当用户cookie中存在rememberMe的标记，此过滤器会根据标记自动实现用户登陆，并创建SecurityContext，授予对应的权限。
 实际上，Spring Security中的rememberMe是依赖cookie实现的，当用户在登录时选择使用rememberMe，系统就会在登录成功后将为用户生成一个唯一标识，并将这个标识保存进cookie中，我们可以通过浏览器查看用户电脑中的cookie。
 (1)、配置rememberMeProcessingFilter
 <!-- 免登录认证过滤器 -->
 <bean id="rememberMeProcessingFilter"
     class="org.acegisecurity.ui.rememberme.RememberMeProcessingFilter">
   <property name="rememberMeServices" ref="rememberMeServices" />
   <property name="authenticationManager" ref="authenticationManager" />
 </bean>
 <!-- 免登录服务 -->
   <bean id="rememberMeServices"
     class="org.acegisecurity.ui.rememberme.TokenBasedRememberMeServices">
   <property name="userDetailsService" ref="userDetailsService" />
   <property name="key" value="springRocks" /><!--与rememberMeAuthenticationProvider中的key要相同-->
   <property name="tokenValiditySeconds" value="1209600L"></property><!--免登陆时长，默认为1209600秒，即两周-->
 </bean>
 <!-- 免登录认证源提供者 -->
 <bean id="rememberMeAuthenticationProvider" class="org.acegisecurity.providers.rememberme.RememberMeAuthenticationProvider">
  <property name="key" value="springRocks"></property>
 </bean>
 (2)、不要忘记把你的RememberMeServices实现添加到AuthenticationProcessingFilter.setRememberMeServices()属性中，包括把RememberMeAuthenticationProvider添加到你的AuthenticationManager.setProviders()队列中，把RememberMeProcessingFilter添加到你的FilterChainProxy中（要放到AuthenticationProcessingFilter后面），并且在httpSessionIntegrationFilter中配置forceEagerSessionCreation=true，如果退出时想取消自动登录功能，需要在退出过滤器logoutFilter中配置rememberMeServices。
 <!-- 表单认证过滤器 -->
 <bean id="authenticationProcessingFilter" class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilter">
  <property name="filterProcessesUrl" value="/j_acegi_security_check"></property>
  <property name="authenticationFailureUrl" value="/login.jsp?login_err=1"></property>
  <property name="defaultTargetUrl" value="/admin.jsp"></property>
  <property name="authenticationManager" ref="authenticationManager"></property>
  <property name="rememberMeServices" ref="rememberMeServices"></property>
 </bean>
 <!-- 认证管理器 -->
 <bean id="authenticationManager" class="org.acegisecurity.providers.ProviderManager">
  <property name="providers">
   <list>
    <ref bean="authenticationProvider"/>
    <ref bean="rememberMeAuthenticationProvider"/>
   </list>
  </property>
  <property name="sessionController" ref="concurrentSessionController"></property>
 </bean>
 <!-- 安全上下文过滤器 -->
 <bean id="httpSessionIntegrationFilter" class="org.acegisecurity.context.HttpSessionContextIntegrationFilter">
  <!-- 为了能够提前获得用户session的值，在rememberMeProcessingFilter应用的时候必须设置 -->
  <property name="forceEagerSessionCreation">
   <value>true</value>
  </property>
 </bean>
 <!-- 退出过滤器 -->
 <bean id="logoutFilter"  class="org.acegisecurity.ui.logout.LogoutFilter">
   <constructor-arg value="/login.jsp" />
   <constructor-arg>
     <list>
      <!-- 用于退出rememberMeServices所存储在session中的用户 -->
       <ref bean="rememberMeServices"/>
       <bean class="org.acegisecurity.ui.logout.SecurityContextLogoutHandler"/>
      </list>
   </constructor-arg>
 </bean>
7、anonymousProcessingFilter
 为了保证操作统一性，当用户没有登陆时，默认为用户分配匿名用户的权限。
 (1)、配置anonymousProcessingFilter
 <!-- 匿名过滤器 -->
 <bean id="anonymousProcessingFilter" class="org.acegisecurity.providers.anonymous.AnonymousProcessingFilter">
  <property name="key" value="foobar"></property>
  <property name="userAttribute" value="anonymousUser,GROUP_ANONYMOUS"></property><!--此为匿名用户名和权限-->
 </bean>
 <bean id="anonymousAuthenticationProvider" class="org.acegisecurity.providers.anonymous.AnonymousAuthenticationProvider">
  <property name="key" value="foobar"></property>
 </bean>
 (2)把anonymousAuthenticationProvider添加到你的AuthenticationManager.setProviders()队列中
 <!-- 认证管理器 -->
 <bean id="authenticationManager" class="org.acegisecurity.providers.ProviderManager">
  <property name="providers">
   <list>
    <ref bean="authenticationProvider"/>
    <ref bean="anonymousAuthenticationProvider"/>
    <ref bean="rememberMeAuthenticationProvider"/>
   </list>
  </property>
  <property name="sessionController" ref="concurrentSessionController"></property>
 </bean>
8、exceptionTranslationFilter
 此过滤器的作用是处理中FilterSecurityInterceptor抛出的异常，然后将请求重定向到对应页面，或返回对应的响应错误代码。
 (1)、配置exceptionTranslationFilter
 <!-- 异常处理过滤器 -->
 <bean id="exceptionTranslationFilter" class="org.acegisecurity.ui.ExceptionTranslationFilter">
  <property name="authenticationEntryPoint" ref="authenticationEntryPoint"></property>
  <property name="accessDeniedHandler" ref="accessDeniedHandler"></property>
 </bean>
 <!-- 授权拒绝句柄 -->
 <bean id="accessDeniedHandler" class="org.acegisecurity.ui.AccessDeniedHandlerImpl">
  <property name="errorPage" value="/error.jsp"></property><!--权限错误时跳转的页面-->
 </bean>
 <!-- 表单认证入口点 -->
 <bean id="authenticationEntryPoint" class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilterEntryPoint">
  <property name="loginFormUrl" value="/login.jsp"></property> <!--还没有登录时，无权限跳转的页面-->
  <property name="serverSideRedirect" value="false"></property> <!--是否重定向页面-->
 </bean>
9、FilterSecurityInterceptor
 用户的权限控制都包含在这个过滤器中。
 功能一：如果用户尚未登陆，则抛出AuthenticationCredentialsNotFoundException“尚未认证异常”。
 功能二：如果用户已登录，但是没有访问当前资源的权限，则抛出AccessDeniedException“拒绝访问异常”。
 功能三：如果用户已登录，也具有访问当前资源的权限，则放行。
 (1)、配置exceptionTranslationFilter
 <bean id="filterSecurityInterceptor" class="org.acegisecurity.intercept.web.FilterSecurityInterceptor">
  <property name="accessDecisionManager" ref="accessDecisionManager"></property>
  <property name="authenticationManager" ref="authenticationManager"></property>
  <property name="objectDefinitionSource">
   <value>
    CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
    PATTERN_TYPE_APACHE_ANT
    /admin.jsp=GROUP_MOTORIST
    /user.jsp=GROUP_ANONYMOUS
   </value>
  </property>
 </bean>
 <!-- 访问决策管理器 -->
 <bean id="accessDecisionManager" class="org.acegisecurity.vote.UnanimousBased">
  <property name="decisionVoters">
   <list>
    <ref bean="roleVoter"/>
   </list>
  </property>
  <property name="allowIfAllAbstainDecisions" value="true"></property>
 </bean>
 <bean id="roleVoter" class="org.acegisecurity.vote.RoleVoter">
  <property name="rolePrefix" value="GROUP_">
  </property>
 </bean>

这篇关于spring2.0 security与acegi的结合配置的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/470576。

相关文章

SQL Server配置管理器无法打开的四种解决方法

SQL Server配置管理器无法打开的四种解决方法

《SQLServer配置管理器无法打开的四种解决方法》本文总结了SQLServer配置管理器无法打开的四种解决方法,文中通过图文示例介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的... 目录方法一：桌面图标进入方法二：运行窗口进入检查版本号对照表php方法三：查找文件路径方法四：检查 S
阅读更多...
Python中re模块结合正则表达式的实际应用案例

Python中re模块结合正则表达式的实际应用案例

《Python中re模块结合正则表达式的实际应用案例》Python中的re模块是用于处理正则表达式的强大工具,正则表达式是一种用来匹配字符串的模式,它可以在文本中搜索和匹配特定的字符串模式,这篇文章主... 目录前言re模块常用函数一、查看文本中是否包含 A 或 B 字符串二、替换多个关键词为统一格式三、提
阅读更多...
Spring Security中用户名和密码的验证完整流程

Spring Security中用户名和密码的验证完整流程

《SpringSecurity中用户名和密码的验证完整流程》本文给大家介绍SpringSecurity中用户名和密码的验证完整流程,本文结合实例代码给大家介绍的非常详细,对大家的学习或工作具有一定... 首先创建了一个UsernamePasswordAuthenticationTChina编程oken对象，这是S
阅读更多...
Linux中SSH服务配置的全面指南

Linux中SSH服务配置的全面指南

《Linux中SSH服务配置的全面指南》作为网络安全工程师,SSH（SecureShell）服务的安全配置是我们日常工作中不可忽视的重要环节,本文将从基础配置到高级安全加固,全面解析SSH服务的各项参... 目录概述基础配置详解端口与监听设置主机密钥配置认证机制强化禁用密码认证禁止root直接登录实现双因素
阅读更多...
嵌入式数据库SQLite 3配置使用讲解

嵌入式数据库SQLite 3配置使用讲解

《嵌入式数据库SQLite3配置使用讲解》本文强调嵌入式项目中SQLite3数据库的重要性,因其零配置、轻量级、跨平台及事务处理特性,可保障数据溯源与责任明确,详细讲解安装配置、基础语法及SQLit... 目录0、惨痛教训1、SQLite3环境配置（1）、下载安装SQLite库（2）、解压下载的文件（3）、
阅读更多...
Linux如何快速检查服务器的硬件配置和性能指标

Linux如何快速检查服务器的硬件配置和性能指标

《Linux如何快速检查服务器的硬件配置和性能指标》在运维和开发工作中,我们经常需要快速检查Linux服务器的硬件配置和性能指标,本文将以CentOS为例,介绍如何通过命令行快速获取这些关键信息,... 目录引言一、查询CPU核心数编程（几C？）1. 使用 nproc（最简单）2. 使用 lscpu（详细信
阅读更多...
Nginx 重写与重定向配置方法

Nginx 重写与重定向配置方法

《Nginx重写与重定向配置方法》Nginx重写与重定向区别：重写修改路径（客户端无感知）,重定向跳转新URL（客户端感知）,try_files检查文件/目录存在性,return301直接返回永久重... 目录一.try_files指令二.return指令三.rewrite指令区分重写与重定向重写: 请求
阅读更多...
Nginx 配置跨域的实现及常见问题解决

Nginx 配置跨域的实现及常见问题解决

《Nginx配置跨域的实现及常见问题解决》本文主要介绍了Nginx配置跨域的实现及常见问题解决,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋友们下面随着小编来... 目录1. 跨域1.1 同源策略1.2 跨域资源共享（CORS）2. Nginx 配置跨域的场景2.1
阅读更多...
gitlab安装及邮箱配置和常用使用方式

gitlab安装及邮箱配置和常用使用方式

《gitlab安装及邮箱配置和常用使用方式》：本文主要介绍gitlab安装及邮箱配置和常用使用方式,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录1.安装GitLab2.配置GitLab邮件服务3.GitLab的账号注册邮箱验证及其分组4.gitlab分支和标签的
阅读更多...
MySQL MCP 服务器安装配置最佳实践

MySQL MCP 服务器安装配置最佳实践

《MySQLMCP服务器安装配置最佳实践》本文介绍MySQLMCP服务器的安装配置方法,本文结合实例代码给大家介绍的非常详细,对大家的学习或工作具有一定的参考借鉴价值,需要的朋友参考下... 目录mysql MCP 服务器安装配置指南简介功能特点安装方法数据库配置使用MCP Inspector进行调试开发指
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2