【转】Acegi ACL使用（转载） 收藏

最新推荐文章于 2024-09-20 21:32:51 发布
最新推荐文章于 2024-09-20 21:32:51 发布
阅读量494 收藏
点赞数
分类专栏： acegi/springsecurity 文章标签： acegi authentication bean class list object

Acegi ACL使用（转载） 收藏
 本文假设你对Acegi其他部分已经比较熟悉。Acegi 的ACL控制是建立在对相应业务方法拦截的基础上的。这里以Acegi自带的contacts例子来说明。
先看看总的配置：

xml 代码
 
1.<bean id="contactManagerSecurity" class="org.acegisecurity.intercept.method.aopalliance.MethodSecurityInterceptor"> 
2.      <property name="authenticationManager"><ref bean="authenticationManager"/>property> 
3.      <property name="accessDecisionManager"><ref local="businessAccessDecisionManager"/>property> 
4.      <property name="afterInvocationManager"><ref local="afterInvocationManager"/>property> 
5.      <property name="objectDefinitionSource"> 
6.         <value> 
7.            sample.contact.ContactManager.getAll=AFTER_ACL_COLLECTION_READ 
8.            sample.contact.ContactManager.getById=AFTER_ACL_READ 
9.            sample.contact.ContactManager.delete=ACL_CONTACT_DELETE 
10.            sample.contact.ContactManager.deletePermission=ACL_CONTACT_ADMIN 
11.            sample.contact.ContactManager.addPermission=ACL_CONTACT_ADMIN 
12.         >  13.      >  
14.   bean> 

该 拦截器实现了org.aopalliance.intercept.MethodInterceptor接口。在方法被调用之前，拦截器会先调用 AuthenticationManager判断用户身份是否已验证，然后从objectDefinitionSource中获取方法所对应的权限，再调 用AccessDecisionManager来匹配用户权限和方法对应的权限。如果用户没有足够权限调用当前方法，则抛出 AccessDeniedException使方法不能被调用。方法调用后会调用AfterInvocationManager对返回的结果进行再次处 理。下面依次说明。
AccessDecisionManager的配置：

xml 代码
 
1.<bean id="businessAccessDecisionManager" class="org.acegisecurity.vote.AffirmativeBased"> 
2.      <property name="allowIfAllAbstainDecisions"><value>falsevalue>property> 
3.      <property name="decisionVoters"> 
4.         <list> 
5.            <ref local="roleVoter"/> 
6.            <ref local="aclContactReadVoter"/> 
7.            <ref local="aclContactDeleteVoter"/> 
8.            <ref local="aclContactAdminVoter"/> 
9.         list> 
10.      property> 
11.   bean> 

AccessDecisionManager 接口有decide()和support()方法。decide()方法决策是否批准通过即方法是否容许调用，如果没抛出 AccessDeniedException则为允许访问资源，否则拒绝访问。support()方法是根据配置属性和受保护资源的类来判断是否需要对该 资源作出决策判断。
AccessDecisionManager的 decisionVoters属性需要一个或多个Voter(投票者)，Voter必须实现AccessDecisionVoter 接口。Voter的工作是去匹配用户已拥有的权限和受保护的资源要求的权限，在该资源有相应权限的情况下，如果匹配则投允许票，否则投反对票。
allowIfAllAbstainDecisions属性表示是否允许所有都弃权时就通过。Voter的实现类RoleVoter在当受保护资源的名字由ROLE_开始时才参与投票。
AccessDecisionManager有三个实现类，功能各不相同:
AffirmativeBased: 当至少有一个Voter投允许票时才通过
UnanimousBased: 没有Voter投反对票时才通过
ConsensusBased: 当所有Voter都投允许票时才通过
下面列出一个Voter的配置：

xml 代码
 
1.<bean id="aclContactDeleteVoter" class="org.acegisecurity.vote.BasicAclEntryVoter"> 
2.      <property name="processConfigAttribute"><value>ACL_CONTACT_DELETEvalue>property> 
3.      <property name="processDomainObjectClass"><value>sample.contact.Contactvalue>property> 
4.      <property name="aclManager"><ref local="aclManager"/>property> 
5.      <property name="requirePermission"> 
6.        <list> 
7.          <ref local="org.acegisecurity.acl.basic.SimpleAclEntry.ADMINISTRATION"/> 
8.          <ref local="org.acegisecurity.acl.basic.SimpleAclEntry.DELETE"/> 
9.        <list> 
10.      <property> 
11.   <bean> 

上面第一个配置里有这么一行：sample.contact.ContactManager.delete=ACL_CONTACT_DELETE
所 以在调用sample.contact.ContactManager.delete这个方法时aclContactDeleteVoter会参与投票， 它会获得sample.contact.Contact这个对象（这个对象从delete方法的参数中获得），然后通过aclManager去获得当前用 户对该Contact实例的ACL权限，最后拿这个权限与我们需要的权限比对，我们配置需要的权限是 org.acegisecurity.acl.basic.SimpleAclEntry.ADMINISTRATION和 org.acegisecurity.acl.basic.SimpleAclEntry.DELETE。如果我们通过aclManager获得的权限包 括这两个配置的权限之一，Voter就投容许票，方法容许调用。如果不包括，那对不起，反对票，AccessDecisionManager就会抛出 AccessDeniedException。方法拒绝调用。
AclManager的配置：

xml 代码
 
1.<bean id="aclManager" class="org.acegisecurity.acl.AclProviderManager"> 
2.      <property name="providers"> 
3.         <list> 
4.            <ref local="basicAclProvider"/> 
5.         <list> 
6.      <property> 
7.   <bean> 
8. 
9.   <bean id="basicAclProvider" class="org.acegisecurity.acl.basic.BasicAclProvider"> 
10.      <property name="basicAclDao"><ref local="basicAclExtendedDao"/><property> 
11.   bean> 
12. 
13.   <bean id="basicAclExtendedDao" class="org.acegisecurity.acl.basic.jdbc.JdbcExtendedDaoImpl"> 
14.      <property name="dataSource"><ref bean="dataSource"/><property> 
15.   <bean> 

AclManager是整个ACL中一个很核心的概念，它包含了两个方法AclEntry[] getAcls(Object domainInstance)和
AclEntry[] getAcls(Object domainInstance, Authentication authentication)。在了解这两个方法前，我们先了解AclEntry这个对象。AclEntry只是一个接口，系统中一般都是造型为 BasicAclEntry。它包括了这个Entry所保护的domainObject instance（这里是Contact），实际它实现上是以AclObjectIdentity来替代这个domainObject的 （domainClass+domainObjectId）；它包括了谁（Recipient）拥有这个domainObject instance以及他所对这个domainObject instance的操作权限（mask）。
一个domainObject instance对应了多个AclEntry，比如一条通讯录张三可以查看，而李四可以管理，一个Contact instance就对应了两个AclEntry，第一个AclEntry包含信息：所保护的domainObject（Contact）,谁（张三），权 限（查看）;第二个AclEntry包含信息：所保护的domainObject（Contact）,谁（李四），权限（管理）。
这样AclManager的两个方法就很好理解了getAcls(Object domainInstance)返回所有这个domainInstance所对应的权限信息，
getAcls(Object domainInstance, Authentication authentication)在第一个方法返回结果的基础上做了过滤，过滤出和authentication（当前用户）相关的权限信息。如果当前用户 是张三，则返回与张三对应的记录。

这样Acegi就会拦截业务方法发挥相应的作用，但是在业务方法返回一个List或是单个 domainObject instance的时候，同样也是需要把用户没有权限查看的domainObject instance过滤掉的，这时就要用afterInvocationManager了，看配置：

xml 代码
 
1.<bean id="afterInvocationManager" class="org.acegisecurity.afterinvocation.AfterInvocationProviderManager"> 
2.      <property name="providers"> 
3.         <list> 
4.            <ref local="afterAclRead"/> 
5.            <ref local="afterAclCollectionRead"/> 
6.         </list> 
7.      </property> 
8.   </bean> 
9.    
10.   <!-- Processes AFTER_ACL_COLLECTION_READ configuration settings --> 
11.   <bean id="afterAclCollectionRead" class="org.acegisecurity.afterinvocation.BasicAclEntryAfterInvocationCollectionFilteringProvider"> 
12.      <property name="aclManager"><ref local="aclManager"/></property> 
13.      <property name="requirePermission"> 
14.        <list> 
15.          <ref local="org.acegisecurity.acl.basic.SimpleAclEntry.ADMINISTRATION"/> 
16.          <ref local="org.acegisecurity.acl.basic.SimpleAclEntry.READ"/> 
17.        </list> 
18.      </property> 
19.   </bean> 
20.    
21.   <!-- Processes AFTER_ACL_READ configuration settings --> 
22.   <bean id="afterAclRead" class="org.acegisecurity.afterinvocation.BasicAclEntryAfterInvocationProvider"> 
23.      <property name="aclManager"><ref local="aclManager"/></property> 
24.      <property name="requirePermission"> 
25.        <list> 
26.          <ref local="org.acegisecurity.acl.basic.SimpleAclEntry.ADMINISTRATION"/> 
27.          <ref local="org.acegisecurity.acl.basic.SimpleAclEntry.READ"/> 
28.        </list> 
29.      </property> 
30.   </bean> 

afterAclCollectionRead 会对配置AFTER_ACL_COLLECTION_READ的方法进行拦截，这里是 sample.contact.ContactManager.getAll方法，它会遍历方法返回的domainObject，然后挨个通过 aclManager判断当前用户对domainObject的权限，如果和需要的权限不和，则过滤掉。呵呵，传说中的虎牙子就在此时产生了！
afterAclRead则依次类推。
参考了ss wiki里相关的文档，特别是差沙和cac的文档，写的相当好。另外acegi的代码也是相当的易读。

本文来自CSDN博客，转载请标明出处：http://blog.csdn.net/anyoneking/archive/2007/09/04/1771688.aspx

zj05409
关注
专栏目录
Hudson-3.3.2-安全配置
JAVA
07-20 632
Hudson的权限管理配置在：系统管理-Configure Security   一旦启用了Hudson权限，而且没有设置管理员用户，那么就进入不了系统管理页面了。这个时候就需要取linux服务器修改/root/.hudson/hudson-security.xml ，改成false，关闭权限，重启Hudson服务，就可以再次进入系统管理了。     true
springside 玩转acegi
03-06
标题 "springside 玩转acegi" 涉及到的是SpringSide项目中对Acegi安全框架的使用，Acegi是Spring早期的一个安全模块，后来被Spring Security所取代。Acegi提供了一套全面的Java安全解决方案，包括认证、授权、会话...
Acegi ACL使用
要思考
03-20 123
本文假设你对Acegi其他部分已经比较熟悉。Acegi 的ACL控制是建立在对相应业务方法拦截的基础上的。这里以Acegi自带的contacts例子来说明。 先看看总的配置： xml 代码   &lt;bean id="contactManagerSecurity" class="org.acegisecurity.intercept.method.aopalliance.Method...
Acegi ACL使用（转载）
懒散狂徒的专栏
09-04 1367
 本文假设你对Acegi其他部分已经比较熟悉。Acegi 的ACL控制是建立在对相应业务方法拦截的基础上的。这里以Acegi自带的contacts例子来说明。 先看看总的配置：xml 代码  bean id="contactManagerSecurity" class="org.acegisecurity.intercept.method.aopalliance.Meth
SpringSecurity ACL持久化： Hibernate implementation of Spring Security ACL
Vange的专栏
04-07 3765
本文重点描述如何基于hibernate在micrite中实现SS(Spring Security) ACL，相关软件版本为 spring-security-2.0.5.RELEASE和micrite-0.11。实现的过程中，借鉴了下面三个例子：contacts 联系人管理（重点参考）SS 的官方例子，控制不同用户对联系人的查看、修改、删除、管理权限。dm
新版Jenkins关闭CSRF“HTTP ERROR 403 No valid crumb was included in the request“
qq_34498872的博客
01-05 2005
新版Jenkins关闭CSRF hudson.security.csrf.GlobalCrumbIssuerConfiguration.DISABLE_CSRF_PROTECTION = true “管理詹金斯 > 脚本控制台”上运行上述内容 新版Jenkins打开CSRF hudson.security.csrf.GlobalCrumbIssuerConfiguration.DISABLE_CSRF_PROTECTION = false ...
Authentication（Spring Security 认证笔记）
weixin_30667301的博客
03-10 232
这篇文章是对Spring Security的Authentication模块进行一个初步的概念了解，知道它是如何进行用户认证的 考虑一个大家比较熟悉的标准认证过程： 1.用户使用username和password登录 2.系统验证这个password对于该username是正确的 3.假设第二步验证成功，获取该用户的上下文信息（如他的角色列表） 4.围绕该用户建立安全上下文（s...
集成ACEGI 进行权限控制
dos_186的博客
08-11 724
一. 简单介绍 1.1 本文目的 集成Acegi到自己的项目中, 并且将用户信息和权限放到数据库, 提供方法允许权限动态变化,变化后自动加载最新的权限 本文介绍Acegi例子的时候采用的是acegi-security-samples-tutorial-1.0.6.war 阅读本文需要对Spring有一定的了解, 如果你还没有接触过, 有些地方可能不容易理解, 这时候可能需要参考本文后附的S
学习acegi-security
bulain
06-12 149
[size=18][color=red]2006-06-10[/color][/size] 学习acegi-security 这几天对acegi研究了一下，现对这几天的研究做个总结。 网上资料对于acegi在web上的应用非常多，所以特意不从web入手，而从一般的java方法入手。 acegi的基本原理就是利用拦截器，对请求进行拦截，在拦截前和拦截后做些安全验证，以达到安全目的...
Jenkins权限设计错误解决办法
杨小扬的专栏
05-12 3994
提示hudson.security.AccessDeniedException2: anonymous没有Overall/Read权限 无法载入其他界面 按如下修改 • 修改$Jenkins_home/config.xml文件：false  • 删除authorizationStrategy、securityRealm节点  • 重新启动Jenkins （必须）
Acegi框架介绍
Hello World!
03-16 982
原文网址：http://www.oschina.net/question/12_8396 概述     对于任何一个完整的应用系 统，完善的认证和授权机制是必不可少的。Acegi Security（以下简称Acegi）是一个能为基于Spring的企业应用提供强大而灵活安全访问控制解决方案的框架，Acegi已经成为 Spring官方的一个子项目，所以也称为Spring Security。它通过
Spring3之Security
weixin_30851867的博客
06-30 66
1.spring security介绍 Spring Security原来叫做Acegi Security，可用于加强任何Java应用的安全，但是最常用于基于Web的应用。下面首先理解几个安全术语： 验证：是验证一个角色与其声称的身份相符的过程。这个角色可以是一个用户、一个设备或者一个系统，但是最典型的是一个用户。角色必须提供身份证据进行验证。这个证据称作凭据，当目标角色是用户时通常是一个密码。...
Hudson升级异常及解决办法
kongxx的专栏
12-28 3965
<br />今天在升级Hudson从1.343到1.389，更新war包并重启tomcat之后，访问任何页面总是出现以下异常<br />Dec 28, 2010 9:17:01 AM hudson.ExpressionFactory2$JexlExpression evaluate WARNING: Caught exception evaluating: h.isUnitTest. Reason: java.lang.reflect.InvocationTargetException java.lan
jenkins安全设置后登录报HTTP Status 404 j_acegi_security_check，导致无法登录
热门推荐
langyalaoa的博客
03-27 1万+
这是jenkins的一个bug，到jenkins的安装目录下如/data/jenkins/config.xml或/var/lib/jenkins/congi.xml，把&lt;useSecurity&gt;true&lt;/useSecurity&gt;改为&lt;useSecurity&gt;false&lt;/useSecurity&gt;然后service stop jenkinsservi...
ArrayList 与 LinkedList 的区别?
最新发布
2401_83418369的博客
09-20 733
ArrayList和LinkedList是Java集合框架中两种常用的数据结构，它们各自具有不同的特点和适用场景。
Java-ArrayList和LinkedList区别
努力搬砖，顶峰相见
09-18 240
注：1，2两点可以结合来看，ArrayList之所以查询更快就是因为底层实现逻辑是数组，同样的，LinkedList之所以更适合增删也是因为其底层实现是基于链表，可以通过修改指针指向来快速的完成新增和删除。
get_property --Cmakelist之中
qq_53092426的博客
09-17 455
get_property ，可以帮助你在 CMake 项目中动态获取目标、源文件、目录、全局等对象的属性，使构建过程更加可控和灵活。
JavaSE--集合总览02：单列集合Collection的体系之一：List
weixin_62189092的博客
09-14 408
ArrayList集合的方法：可以使用Collection接口的所有方法如：add(), clear(), isEmpty(), size(), contains(), remove(), toArry()。List集合支持的遍历方式：① for循环(因为list集合有索引) ②迭代器 ③增强型for ④Lambda表达式。创建一个ArrayList集合： List 集合名=new ArrayList()；list集合的特点： 有序 可重复 有索引。特点： 有序 可重复 有索引。
Acegi安全框架入门教程：一步步教你配置与使用
"Acegi是一个安全框架，常用于Spring MVC应用程序的身份验证和授权。本文将逐步指导如何在实际项目中应用Acegi，并解释其配置过程。Acegi的主要配置包括在`web.xml`中的过滤器设置和Acegi安全文件的定制。" Acegi，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值