spring security 转

摘要  Spring Security 为基于 J2EE 企业应用软件提供了全面安全服务。安全主要包括两个操作“认证”与“验证”（有时候也会叫做权限控制）。“认证”是为用户建立一个其声明的角色的过程，这个角色可以一个用户、一个设备或者一个系统。“验证”指的是一个用户在你的应用中能够执行某个操作。在到达授权判断之前，角色已经在身份认证过程中建立了。

spring  security

1. 开篇说明

最近工作有权限控制的需求，所以看了一下spring的security，它提供了很好的安全服务；

参考文章：http://peiquan.blog.51cto.com/7518552/1384168 ;

在这里我使用第三种权限控制方法，即将用户，权限，资源使用数据库存储，并自定义过滤器，在配置文件里进行相应配置。

二、数据准备

--权限表

CREATE TABLE `authorities` (
  `id` int(11) NOT NULL AUTO_INCREMENT,
  `authority` varchar(20) DEFAULT NULL,
  `uid` int(11) DEFAULT NULL,  //用户id
  PRIMARY KEY (`id`)
) ;

INSERT INTO `authorities` VALUES ('1', 'ROLE_ADMIN', '1');
INSERT INTO `authorities` VALUES ('2', 'ROLE_USER', '2');

--用户表(密码为123，这里已加密)

CREATE TABLE `users` (
  `id` int(11) NOT NULL AUTO_INCREMENT,
  `username` varchar(20) DEFAULT NULL,
  `password` varchar(60) DEFAULT NULL,
  `enabled` int(11) DEFAULT NULL,
  PRIMARY KEY (`id`)
);

INSERT INTO `users` VALUES ('1', 'admin', 86888061b399e74e30eeead8c7aab922, '1');
INSERT INTO `users` VALUES ('2', 'user', '368703df04cc8d60e2f494a5c244e45a', '1');

--资源表

CREATE TABLE `demo_resources` (
  `id` int(10) NOT NULL AUTO_INCREMENT,
  `resource_name` varchar(100) NOT NULL,
  `resource_type` varchar(100) NOT NULL,
  `resource_content` varchar(200) NOT NULL,
  `resource_desc` varchar(200) NOT NULL,
  `enabled` int(2) DEFAULT NULL,
  PRIMARY KEY (`id`),
  UNIQUE KEY `resource_name` (`resource_name`),
  KEY `resource_name_2` (`resource_name`)
);

INSERT INTO `demo_resources` VALUES ('1', '所有资源', 'requesturl', '/**', '所有页面',  '1');
INSERT INTO `demo_resources` VALUES ('2', '管理员资源', 'requesturl', '/admin.jsp', '进入管理员页面',  '1');
INSERT INTO `demo_resources` VALUES ('3', 'user资源', 'requesturl', '/', 'user能进入首页',  '1');

--资源与权限关联表

CREATE TABLE `resource_authority` (
  `id` int(11) NOT NULL AUTO_INCREMENT,
  `rid` int(11) DEFAULT NULL,   //资源id
  `aid` int(11) DEFAULT NULL,  //权限id
  PRIMARY KEY (`id`)
);

INSERT INTO `resource_authority` VALUES ('1', '1', '1');
INSERT INTO `resource_authority` VALUES ('2', '2', '1');
INSERT INTO `resource_authority` VALUES ('3', '3', '2');

上面的数据说明：

       1) admin角色的用户能够访问所有资源（/**，当然我加/admin.jsp这个有点多余，不过没关系） ;

       2) user角色的用户只能进入首页（/）；

三、security配置

?

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36

< http  pattern = "/login.jsp"  security = "none"  />    < http  auto-config = "true"  access-denied-page = "/403.jsp" >       < form-login  login-page = "/login.jsp"  />         <!-- 自定义filter -->        < custom-filter  before = "FILTER_SECURITY_INTERCEPTOR"  ref = "securityInterceptorFilter"  />    </ http >       <!-- 配置认证管理器 -->   < authentication-manager   alias = "authenticationManager" >      < authentication-provider  user-service-ref = 'userDetailsService' >        <!-- 用户加密解密类  -->                < password-encoder  hash = "md5" >                  < salt-source  user-property = "username" />                </ password-encoder >       </ authentication-provider >   </ authentication-manager >          < beans:bean  id = "userDetailsService"  class = "com.springmvc.security.impl.SpringMvcUserDetailsServiceImpl"  />      <!-- PasswordEncoder 密码接口 -->    < beans:bean  id = "passwdEcoder"  class = "org.springframework.security.authentication.encoding.Md5PasswordEncoder" />       <!-- 元数据提供接口 -->   < beans:bean  id = "springMvcInvocationSecurityMetadataSource"  class = "com.springmvc.security.impl.SpringMvcInvocationSecurityMetadataSourceImpl"  >         </ beans:bean >   <!-- 权限抉择接口 -->   < beans:bean  id = "accessDecisionManager"  class = "com.springmvc.security.impl.DemoAccessDecisionManager" />      <!-- 自定义过滤器 -->     < beans:bean  id = "securityInterceptorFilter"  class = "com.springmvc.security.impl.DemoSecurityInterceptor" >         < beans:property  name = "securityMetadataSource"  ref = "springMvcInvocationSecurityMetadataSource" /> <!-- FilterInvocationSecurityMetadataSource 接口实现类 -->         < beans:property  name = "authenticationManager"  ref = "authenticationManager" /> <!-- 鉴定管理类 -->         < beans:property  name = "accessDecisionManager"  ref = "accessDecisionManager" /> <!-- AccessDecisionManager 接口实现类 -->     </ beans:bean >

四、功能说明

    1) springMvcInvocationSecurityMetadataSource

     服务器启动时，会将数据库中所有权限和资源提取出来，放在一个map里，等用户登录到该系统时，就会使用到map，从而判断该用户是否有这个权限。

?

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98

public  class  SpringMvcInvocationSecurityMetadataSourceImpl  implements    FilterInvocationSecurityMetadataSource {   private  static  final  Logger logger = LoggerFactory     .getLogger(SpringMvcInvocationSecurityMetadataSourceImpl. class );   private  SecurityServiceInf securityService;   @Autowired   public  SpringMvcInvocationSecurityMetadataSourceImpl(     SecurityServiceInf securityService) {    this .securityService = securityService;    initResources();   }   // 所有的资源和权限的映射就存在这里   private  HashMap<RequestMatcher, Collection<ConfigAttribute>> requestMap =  new  HashMap<RequestMatcher, Collection<ConfigAttribute>>();   private  Collection<ConfigAttribute> allAttribute =  new  HashSet<ConfigAttribute>();   /**    * 初始化所有的资源,这个会在容器运行的时候的构造方法里调用    */   private  void  initResources() {    logger.debug( "init SecurityMetadataSource load all resources" );    // 读取所有的资源,和资源相关联的的权限    // 读取所有权限点    Collection<AuthorityEntity> allAuthority = securityService      .getAllAuthority();    logger.debug( "start to convert AUthortiyEntity to SercurityConfig" );    for  (AuthorityEntity authEntity : allAuthority) {     String authString = authEntity.getAuthority();     logger.debug( "add authroity named:["  + authString +  "]" );     SecurityConfig attrConfig =  new  SecurityConfig(authString);     allAttribute.add(attrConfig);    }    // 读取所有资源    Collection<ResourceEntity> allResources = securityService      .findAllResources();    // 循环所有资源    for  (ResourceEntity resourceEntiry : allResources) {     // 按照资源查询和资源相关的权限点     Collection<AuthorityEntity> authEntities = securityService       .getAuthorityByResource(resourceEntiry.getId());     // 把此关系保存到requestMap里     // 获取资源     String resourceContent = resourceEntiry.getResourceContent();     // 把url资源转化为一个spring的工具类,请求匹配器类     logger.debug( "add new requestmatcher with ["  + resourceContent       +  "]" );     RequestMatcher matcher =  new  AntPathRequestMatcher(resourceContent);     // 循环权限 定义一个权限的集合,和此资源对应起来,添加到HashMap里     Collection<ConfigAttribute> array =  new  ArrayList<ConfigAttribute>(       authEntities.size());     for  (AuthorityEntity auth : authEntities) {      // 转化权限对象为SecurityConfig      SecurityConfig securityConfig =  new  SecurityConfig(        auth.getAuthority());      array.add(securityConfig);     }     requestMap.put(matcher, array);    }   }   /**    * 根据资源获取需要的权限名称    */   @Override   public  Collection<ConfigAttribute> getAttributes(Object object)     throws  IllegalArgumentException {    logger.debug( "get resource "  + object +  " authority" );    // 把对象转化为请求    final  HttpServletRequest request = ((FilterInvocation) object)      .getRequest();    // 循环整个Map 看看有没有可以匹配的,如果有匹配的就立刻返回    Collection<ConfigAttribute> attrHashMap =  new  HashSet<ConfigAttribute>();    for  (Map.Entry<RequestMatcher, Collection<ConfigAttribute>> entry : requestMap      .entrySet()) {     if  (entry.getKey().matches(request)) {      logger.debug( "request matches :"  + request.getRequestURL());      attrHashMap.addAll(entry.getValue());     }    }    if  (attrHashMap.size() >  0 ) {     // 如果有匹配的就转成ArrayList,然后返回list     Collection<ConfigAttribute> attr =  new  ArrayList<ConfigAttribute>(       attrHashMap);     return  attr;    }    logger.debug( "request no matches" );    return  Collections.emptyList();   }   /**    * 获取所有权限点    */   @Override   public  Collection<ConfigAttribute> getAllConfigAttributes() {    return  this .allAttribute;   }   @Override   public  boolean  supports(Class<?> clazz) {    // TODO Auto-generated method stub    return  true ;   } }

  requestMap里的数据如下：

  

  2) userDetailsService

  当用户登录时，会使用输入的用户信息，与数据库中的比较，用户名错误或密码错误，都会有相应的提示（下面会有介绍），都正确的话，会返回一个user实体。

?

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23

public  class  SpringMvcUserDetailsServiceImpl  implements  UserDetailsServiceInf {   @Autowired   private  DemoAuthorityRepository authRepository;   @Autowired   private  UserRepository demoUserReposiroty;   @Override   public  UserDetails loadUserByUsername(String username)     throws  UsernameNotFoundException {    // 读取用户    UsersEntity userEntity = demoUserReposiroty.findByName(username);    // 读取权限    Collection<GrantedAuthority> auths =  new  ArrayList<GrantedAuthority>();    // 这里需要从数据库里读取所有的权限点    Collection<com.springmvc.model.AuthorityEntity> aes = authRepository      .getAuthorityByUser(userEntity.getId());    for  (AuthorityEntity ae : aes) {     auths.add( new  SimpleGrantedAuthority(ae.getAuthority()));    }    User user =  new  User(userEntity.getUsername(),      userEntity.getPassword(),  true ,  true ,  true ,  true , auths);    return  user;   } }

   3) accessDecisionManager

   判断当前用户是否拥有访问该资源的权限。

?

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32

public  class  DemoAccessDecisionManager  implements  AccessDecisionManager {   @Override   public  void  decide(Authentication authentication, Object object,     Collection<ConfigAttribute> configAttributes)     throws  AccessDeniedException, InsufficientAuthenticationException {    if  ( null  == configAttributes) {     return ;    }    Iterator<ConfigAttribute> cons = configAttributes.iterator();    while  (cons.hasNext()) {     ConfigAttribute ca = cons.next();     String needRole = ((SecurityConfig) ca).getAttribute();     // gra 为用户所被赋予的权限，needRole为访问相应的资源应具有的权限     for  (GrantedAuthority gra : authentication.getAuthorities()) {      if  (needRole.trim().equals(gra.getAuthority().trim())) {       return ;      }     }    }    throw  new  AccessDeniedException( "没有权限" );   }   @Override   public  boolean  supports(ConfigAttribute attribute) {    // TODO Auto-generated method stub    return  true ;   }   @Override   public  boolean  supports(Class<?> clazz) {    // TODO Auto-generated method stub    return  true ;   } }

五、权限控制

  1） 登录

    若使用security默认的登录页，则登录时的错误提示信息是在spring-security-core包下面的messages.properties等；

    但是一般我们使用自己的登录页，上面security.xml已配置了登陆页的路径login.jsp，那么提示信息就得自己配置了，可以自定义message_zh_CN.properties，放在根路径下的message包里，然后这样配置：

?

1 2 3 4 5 6 7 8

< bean  id = "messageSource"  class = "org.springframework.context.support.ReloadableResourceBundleMessageSource" >      < property  name = "defaultEncoding"  value = "UTF-8"  />      < property  name = "basenames" >         < list >            < value >classpath:message/message</ value >         </ list >      </ property >   </ bean >

  message_zh_CN.properties信息如下：

?

1	AbstractUserDetailsAuthenticationProvider.badCredentials=\u5BC6\u7801\u4E0D\u6B63\u786E

  security默认提示：坏的凭证，这里是'密码不正确'，当然你可以改成任何提示信息；

  若登录时用户名错误，返回的信息是no entity found....

  下面使用错误密码登录，提示信息如下：

  

  比较密文的代码如下：

 

 

 2） 登录成功后，访问资源

      i. 使用admin账号登录，然后访问admin.jsp

    

     

   

     ii. 使用user账号登录，然后访问admin.jsp

   

    

   可以看到，user无权访问admin.jsp。

ok，只要权限和资源关系配置好，security会帮我们自动拦截，实现权限控制。