c04s31602的专栏

Spring Security3是目前使用非常广泛的java web安全框架，我经历的项目中有很多在使用它。尽管有shiro等使用更方便、更容易理解、应用范围更广的安全框架开始流行，但Spring Security3在Java web领域无疑是更强大、更容易扩展的。对Spring Security3配置、应用的blog很多，我就不再介绍这些了。此系列文章主要根据我学习Spring Secu...

Spring Security3可以处理来自form的登录，也可以处理来自外部提供的认证比如和CAS做集成。处理认证的流程是相同的，找了一张图贴出来 这张图标出了涉及到认证的主要接口：由AbstractAuthenticationProcessingFilter过滤器处理过滤认证请求，生成一个Authentication对象，交给AuthenticationManager，再交给Authent...

鉴权过滤器FilterSecurityInterceptor是11个默认过滤器的最后一个，也是流程很复杂的一个过滤器。它的鉴权不仅仅针对web领域，我们主要讨论对web的鉴权 这个图是大概的流程，首先有几个相关的对象FilterSecurityInterceptor：安全过滤器SecurityMetadataSource：资源元数据ConfigAttribute：访问该资源的配...

退出的基本配置：<logout logout-url="/logout.htm" logout-success-url="/login.htm" invalidate-session="true" /> 也可以自定义退出成功的handler，添加配置success-handler-ref。如果不配置logout-url，默认的退出url是j_spring_security_...

Spring Security3默认过滤器链的第一个过滤器就是org.springframework.security.web.context.SecurityContextPersistenceFilter，这个Filter就是持久化SecurityContext实例的，流程图： 看SecurityContextPersistenceFilter代码： public void do...