Acegi 详细配置说明

最新推荐文章于 2019-01-08 11:44:01 发布
最新推荐文章于 2019-01-08 11:44:01 发布
阅读量321 收藏
点赞数
分类专栏： Java 文章标签： Acegi 配置管理 Ant 正则表达式 DAO
该篇东西详细的讲述了Acegi的相关配置，并在附件上有测试用的Eclipse工程，内含一个基于内存和一个基于MYSQL数据媒介的安全访问控制。每个配置文件里面都包含详细的注释。 


<?xml version="1.0" encoding="UTF-8"?>

<!-- 
	/**
	 * 基于内存的安全访问控制
	 *
	 * @date 2008-11-02
	 * @author brofe@163.com
	 */
 -->

<beans xmlns="http://www.springframework.org/schema/beans"
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-2.0.xsd">

	<!-- 
		FilterChainProxy, 过滤器链的配置

		FilterChainProxy 受FilterToBeanProxy委托组织过滤器链，并按顺序调用，并包含一下配置信息

		1、CONVERT_URL_TO_LOWERCASE/UPPERCASE_BEFORE_COMPARISON 表示对URL匹配之前将其转化为小写或大写。
		2、PATTERN_TYPE_APACHE_ANT 表示使用Ant的风格匹配URL的描述，默认是使用正则表达式。
		3、/**=**,**,** 表示多个过滤器组成的过滤器链，过滤器之间用逗号隔开且直接不能包含回车换行。
		4、主要支持的过滤器有：HttpSessionContextIntegrationFilter、ExceptionTranslationFilter、
		                     ChannelProcessingFilter、LogoutFilter、AuthenticationProcessingFilter
	-->
	<bean id="filterChainProxy" class="org.acegisecurity.util.FilterChainProxy">
		<property name="filterInvocationDefinitionSource">
			<value>
				CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON 
				PATTERN_TYPE_APACHE_ANT
				/**=authenticationProcessingFilter,logoutFilter,rememberMeProcessingFilter,exceptionTranslationFilter
			</value>
		</property>
	</bean>

	<!-- 
		AuthenticationProcessingFilter 认证过滤器的配置

		Acegi提供多种认证方式，如基于内存、DB、CA、LDAP等。它包含如下配置信息：

		1、authenticationManager, 表示指定认证信息的提供者，它负责从储存了用户身份和用户安全信息的媒介中读取认证所需的数据。
		2、filterProcessesUrl, 表示处理用户身份认证服务所在的URL。页面表单通过"j_username"、"j_password"传递待认证的用户信息。
		3、defaultTargetUrl, 表示认证成功后转向的URL。
		4、authenticationFailureUrl, 表示认证失败后转向的URL。
	-->
	<bean id="authenticationProcessingFilter" class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilter">
		<property name="authenticationManager" ref="authenticationManager" />
		<property name="authenticationFailureUrl" value="/acegilogin.jsp?login_error=1" />
		<property name="defaultTargetUrl" value="/userinfo.jsp" />
		<property name="filterProcessesUrl" value="/j_acegi_security_check" />
	</bean>

	<!-- 
		ProviderManager 认证提供者的配置

		ProviderManager，从储存了用户身份和用户安全信息的媒介中读取认证所需的数据或者说是一个认证列表。
		当一个认证提供者失败Acegi尝试从另外一个认证提供者获取，保证能兼容不同来源的身份认证。如：
			DaoAuthenticationProvider 从数据库中读取用户信息验证身份
			AnonymousAuthenticationProvider 匿名用户身份认证
			RememberMeAuthenticationProvider 已存cookie中的用户信息身份认证

			AuthByAdapterProvider 使用容器的适配器验证身份
			CasAuthenticationProvider 根据Yale中心认证服务验证身份, 用于实现单点登陆
			JaasAuthenticationProvider 从JASS登陆配置中获取用户信息验证身份
			RemoteAuthenticationProvider 根据远程服务验证用户身份
			RunAsImplAuthenticationProvider 对身份已被管理器替换的用户进行验证
			X509AuthenticationProvider 从X509认证中获取用户信息验证身份
			TestingAuthenticationProvider 单元测试时使用
		注意：每个认证者会对自己指定的证明信息进行认证，
		如DaoAuthenticationProvider仅对UsernamePasswordAuthenticationToken这个证明信息进行认证。

		认证提供者包含以下配置信息:
			1、providers，表示可以配置一个或多个认证提供者。
	 -->
	<bean id="authenticationManager" class="org.acegisecurity.providers.ProviderManager">
		<!-- 可以拥有多个认证管理处理类，只要一个认证通过就可以了 -->
		<property name="providers">
			<list>
				<!-- 基于DAO的认证提供者 -->
				<ref bean="daoAuthenticationProvider"/>
				<!-- 基于Cookie的认证提供者 -->
				<bean class="org.acegisecurity.providers.rememberme.RememberMeAuthenticationProvider">
					<property name="key" value="acegicookie" />
				</bean>
			</list>
		</property>
	</bean>

	<!-- 
		DaoAuthenticationProvider 基于DAO的认证提供者的配置

		该配置负责从数据库或其他保存用户信息的媒介中获取用户信息进行认证。该类首先从SecurityContextHolder的Authentication
		中得到待认证的用户名，并根据该用户名获取保存在数据库或其他媒介中代表真正系统用户的UserDetails对象中。紧接着比较Authentication
		和UserDetails的匹配关系（如密码时候相等）。如果两者匹配，认证成功，并将UserDetails的权限信息复制到Authentication中；
		如果不匹配，认证失败。

		1、userDetailsService， 表示DaoAuthenticationProvider通过UsesDetailsService完成UserDetails的获取工作。
	 -->
	<bean id="daoAuthenticationProvider" class="org.acegisecurity.providers.dao.DaoAuthenticationProvider">
		<!-- 将用户保存在内存里面的一种简单方式 -->
		<property name="userDetailsService" ref="userDetailsService" />
	</bean>

	<!-- 
		UserDetailsService， 用户获取UserDetails实例的配置

		Acegi根据存储用户信息的媒介不同，提供两个UserDetailsService的实现类：
			1、InMemoryDaoImpl：该实现类负责从内存中获取用户信息。它允许通过"userMap"和"userProperties"等媒介中获取用户信息。
			2、JdbcDaoImpl：该实现类负责从数据库中获取用户信息。
	-->
	<bean id="userDetailsService" class="org.acegisecurity.userdetails.memory.InMemoryDaoImpl">
		<!-- 将用户信息和权限信息直接保存在内存中 -->
		<!--
		<property name="userMap">
			<value>
				brofe=123,ROLE_ADMIN
				lemonade=123,ROLE_USER
				vistor=123,disabled,ROLE_USER
			</value>
		</property>
		-->
		<!-- 将用户信息和权限信息保存于Java的属性文件中 -->
		<property name="userProperties">
			<bean class="org.springframework.beans.factory.config.PropertiesFactoryBean">
				<property name="location" value="/WEB-INF/users.properties" />
			</bean>
		</property>
	</bean>

	<!-- 
		RememberMeProcessingFilter 将Authentication中的用户名和密码保存在客户端Cookie的过滤器

		使用Cookie保存用户登陆信息，必须考虑以下安全问题：
			1、Cookie是易受攻击的，多用户共享浏览器和垮站点脚本攻击都可能使Cookie失窃。
			2、一切可以从Cookie中反推出密码明文的存储方式都是不可接受的。
			3、必须将客户端的IP绑定在Cookie中，这样即使Cookie失窃，也不可能在其他的机器上使用。
			4、使用Cookie登陆，意味着用户可以不经过显示登陆的方式，获取正常登陆的一切权限。

		Acegi Remember-Me中最关键的三个问题:
			1、在用户登陆的时候，获取用户名和密码等信息，将其以一定的方式保存到Cookie中。
			2、在Cookie的有效期内，当用户访问站点的安全页面时，自动进行登陆。
			3、必须提供一个功能，让用户可以手工清除Remember-Me Cookie。

		Remeber-Me 中涉及的类和接口：
			RememberMeServices：该接口是Remember-Me方案中最关键的接口
				* void loginSucess(HttpServletRequest req, HttpServletResponse res, Authentication successfulAuthencation)
				  登陆成功后调用该方法，将用户名和密码保存到Cookie中。
				* void loginFail(HttpServletRequest req, HttpServletResponse res)登陆失败后调用该方法
				* Authentication autoLogin(HttpServletRequest req, HttpServletResponse res)
				  从Cookie中自动获取用户名和密码进行自动登陆。
				* loginSucess()和loginFail()方法的调用到编制到Acegi的AbstractProcessingFilter抽象过滤器中，这意味着任何
				  注入了RememberMeServices实例的过滤器都会以适合的方式调用这两个方法。而autoLogin（）方法则通过RememberMeProcessingFilter
				  调用，当RememberMeProcessingFilter发现SecurityContextHolder中不存在有效的Authentication时，autoLogin（）
				  方法自动调用。
			Acegi为RememberMeServices接口提供两个实现类：
				1、NullRememberMeServices：类似于适配器的实现类，它不做任何有意义的事情，这是AbstractProcessingFilter默认的实现类。
				2、TokenBaseRememberMeServices：基于凭证（一般指用户名和密码）的Remember-Me实现类，它真实的实现了接口中的方法。

		Acegi通过“_acegi_security_remember_me”的参数值来判断用户是否使用Rememer-Me的功能。
	 -->
	<bean id="rememberMeProcessingFilter" class="org.acegisecurity.ui.rememberme.RememberMeProcessingFilter">
		<!-- 根据Cookie中的用户信息获得对应的UserDetails，进而重现Authentication -->
		<property name="authenticationManager" ref="authenticationManager" />
		<property name="rememberMeServices" ref="rememberMeServices" />
	</bean>
	<bean id="rememberMeServices" class="org.acegisecurity.ui.rememberme.TokenBasedRememberMeServices">
		<!-- Cookie有效时间，单位为秒，默认值是两个星期 -->
		<property name="tokenValiditySeconds" value="432000" />
		<property name="userDetailsService" ref="userDetailsService" />
		<!-- 保存在Cookie中的键值 -->
		<property name="key" value="acegicookie"></property>
	</bean>

	<!-- 
		LogoutFilter 退出系统的后置过滤器

		因为用户的安全信息通过SecurityContext保存在HttpSession中，故当用户退出系统时必须将其清除；当用户退出系统时常常需要
		执行一些相关的操作，如记录用户退出系统的日志，将登陆信息保存到Cookie中的。该过滤器就是为了完成上述任务。

		退出系统的过滤器需要知道一下三方面的信息：
			1、哪一个URL是退出系统的HTTP请求，通过“filterProcessesUrl”属性指定。默认的为：“/j_acegi_logout”。
			2、退出系统前需要执行那些操作及需要执行那些处理器。需要执行的处理器必须实现LogoutHolder接口。Aceig提供两个实现类：
				* SecuritContextLogoutHolder，该处理器将SecurityContext从HttpSession中删除。
				* TokenBaseRememberMeServices，该处理器将Authentication中的用户名和密码保存到客户端的Cookie中。
			3、退出系统后转向哪个URL，通过构造函数指定。
	 -->
	<bean id="logoutFilter" class="org.acegisecurity.ui.logout.LogoutFilter">
		<!-- 指定退出系统后转向的URL -->
		<constructor-arg value="/acegilogin.jsp" />
		<!-- 退出系统前需要执行的处理器 -->
		<constructor-arg>
			<list>
				<!-- 将Remember-Me Cookie中的用户信息清除，我的理解为这样做并不合适 -->
				<ref bean="rememberMeServices"/>
				<!-- 该处理器将SecurityContext从HttpSession中删除 -->
				<bean class="org.acegisecurity.ui.logout.SecurityContextLogoutHandler" />
			</list>
		</constructor-arg>
	</bean>

	<!-- 
		ExceptionTranslationFilter 异常转换过滤器

		过滤器在过滤器链中的配置必须在FilterSecurityInterceptor之前。过滤器主要拦截登陆异常和越权访问异常。

		该过滤器的属性说明：
		1、authenticationEntryPoint：表示如果未通过身份认证引发的异常，就将请求导向到该入口。
		2、accessDeniedHandler：表示如果用户越权访问，就将请求导向到该入口。
	-->
	<bean id="exceptionTranslationFilter" class="org.acegisecurity.ui.ExceptionTranslationFilter">
		<property name="authenticationEntryPoint">
			<bean class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilterEntryPoint">
				<property name="loginFormUrl" value="/acegilogin.jsp" />
				<property name="forceHttps" value="false" />
			</bean>
		</property>
		<property name="accessDeniedHandler">
			<bean class="org.acegisecurity.ui.AccessDeniedHandlerImpl">
				<property name="errorPage" value="/acegilogin.jsp"></property>
			</bean>
		</property>
	</bean>
</beans>
brofe512
关注
专栏目录
浅谈Acegi配置
02-07 3079
 Acegi是基于Spring的一个开源的安全认证框架，现在的最新版本是1.04。Acegi的特点就是有很多的过滤器：不过我们也用不到这么多的过滤器，只是可以把它们看作为一个个的模块，在用的时候加上自己用的着的即可，由于认证的流程的方面比较复杂导致它的配置很复杂，如果能摸清它的工作原理还是不太难.下面用比较顺着人思维的流程过一遍 这里只列出常用的过滤器和拦载器 1. 过滤器：HttpSession
Acegi的配置
第一自然的专栏
10-15 1115
acegi是acegi security system for spring 的简称，是专门spring应用系统提供安全保护的的开源安全框架  刚开始接触到acegi是在springside中，看其中的配置文件看的一头雾水，反正不懂，后来因为喜欢spring，所以觉得acegi这个东西还是要搞懂的，就花了些时间研究了一下， 研究很有成效，因为我发现其实acegi的配置很简单，先确定要配置哪几个
acegi配置
西瓜
01-08 212
https://www.cnblogs.com/xiaoao808/archive/2008/07/20/1246286.html &lt;?xml version="1.0" encoding="UTF-8"?&gt; &lt;!DOCTYPE beans PUBLIC "-//SPRING//DTD BEAN//EN" "http://www.springframework.org/dtd/...
Acegi详解
Clay's Coding Life
11-16 180
本文转自：http://www.yuanma.org/data/2007/0213/article_2302.htm Acegi是Spring Framework 下最成熟的安全系统，它提供了强大灵活的企业级安全服务，如： 1 : 完善的认证和授权机制， 2 : Http资源访问控制， 3 : Method 调用访问控制， 4 : Access Control List (ACL) ...
Spring的Acegi security的配置，和JDK1.5的一些问题
风之力——Essential Java
12-23 3030
Spring的Acegi security的配置，和JDK1.5的一些问题新的项目没有开始于是抽空做一个通用一些的Security,后来又考虑到CAS和SSL的认证问题俺还没有弄懂，就选择直接使用Spring的子项目acegiacegi是基于Spring的的一个安全框架，支持HTTP基本（basic）验证、HTTP Request Session验证、安全通道、ACL等等，功能强大。配置比较简单，
Acegi_db1.rar_acegi
最新发布
09-23
而"Acegi 数据库配置安全策略 源代码及图解"很可能是详细的源代码示例和配套的说明文档，展示了如何配置Acegi以连接到数据库，设置用户角色，以及如何实施细粒度的访问控制策略。 通过学习这个压缩包中的内容，...
acegi+cas整合工程及说明1
07-18
将acegi和cas的war包修改并整合测试，里面包含所需依赖包。经过分卷压缩一共3个文件.
spring的acegi应用
03-17
通常，这种文档会包含实际的代码示例、配置说明以及可能出现的问题和解决方案。由于无法直接查看文档内容，建议下载并阅读这份文档以获取更深入的理解。 总之，Spring Security（前身Acegi Security）是Spring框架...
acegi-security-1.0.4-src.zip源码，jar（全套）
01-08
Acegi Security为基于J2EE的企业应用软件提供全面的安全解决方案。正如你在本手册中看到的那样，我们尝试为您提供有用的，高可配置的安全系统。 Acegi Security专注于在企业应用安全层为您提供帮助，你将会发现和各式各样的需求和商业问题领域一样多。银行系统的需求和电子商务应用的需求不同。电子商务应用和售卖军用自动工具的公司的需求不同。这些客户化的需求使得应用安全显得有趣，富有挑战性而且物有所值。 Acegi Security为基于J2EE的企业软件应用提供全面的安全服务。特别是使用领先的J2EE解决方案－Srping框架开发的项目。如果您不是使用Spring开发企业应用，我们温馨提醒您仔细研究一下。熟悉Spring，尤其是依赖注射原理，会极大的帮助你快速掌握Acegi Security。
Acegi的简单配置
爱在深夜
10-04 117
contextConfigLocation /WEB-INF/acegi-config.xml Acegi Filter Chain Proxy org.acegisecurity.util.FilterToBeanProxy targetClass org.acegi...
Acegi 学习笔记
langzhiwang888的专栏
06-10 99
Acegi Security System 是一种功能强大并易于使用的替代性方案，使您不必再为 Java 企业应用程序编写大量的安全代码。虽然它专门针对使用 Spring 框架编写的应用程序，但是任何类型的 Java 应用程序都没有理由不去使用 Acegi。本文的主要目的是希望能够说明如何在基于Spring构架的Web应用中使用Acegi，而不是详细介绍其中的每个接口、每个类。注意，即使对...
Acegi基本配置
独行者的专栏
07-09 831
    Acegi是一个和Spring紧密耦合的框架，它的配置也和Spring直接关联。在配置时首先要引入Acegi和Spring的Jar包，然后把常用功能和Acegi核心功能分开配置。具体配置如下:         首先要配置web.xml，具体代码如下:           contextConfigLocation  /WEB-INF/applicationContextProperties
acegi安全系统标准配置指南草案(一)
06-28 1825
一、在web.xml中配置acegi的Filter二、新建一个spring的配置文件applicationContext-security.xmlxml version="1.0" encoding="UTF-8"?>DOCTYPE beans PUBLIC "-//SPRING//DTD BEAN//EN"    "http://www.springframework.org/dtd/spr
Acegi 的配置(1)-web.xml
懒散狂徒的专栏
08-17 1542
 (1)  FilterToBeanProxy　　 Acegi通过实现了Filter接口的FilterToBeanProxy提供一种特殊的使用Servlet Filter的方式，它委托Spring 中的Bean -- FilterChainProxy来完成过滤功能，这好处是简化了web.xml的配置，并且充分利用了Spring IOC的优 势。FilterChainProxy包含了处理认证过程
Acegi配置实例
wengyupeng 蜗牛一步一步向前。。。
08-28 3385
Acegi配置实例
acegi-security.xml配置解释
huandie86的专栏
05-20 139
原文请参看：http://lizhx.blog.163.com/blog/static/1187184820071126113854657/
Acegi配置信息讲解(转)
fangyong2006的专栏
03-30 261
1. 概述 Acegi是一个专门为SpringFramework应用提供安全机制的开放源代码项目，全称为Acegi Security System for Spring，当前版本为 0.8.3。它使用了Spring的方式提供了安全和认证安全服务，包括使用Bean Context，拦截器和面向接口的编程方式。通过精心 配置Acegi安全系统能够轻松地适用于复杂的安全需求。它既能应用于WEB应用...
Acegi安全框架入门教程：一步步教你配置与使用
本文将逐步指导如何在实际项目中应用Acegi，并解释其配置过程。Acegi的主要配置包括在`web.xml`中的过滤器设置和Acegi安全文件的定制。" Acegi，全称为Acegi Security，是一个强大的安全框架，它提供了全面的身份...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值