Acegi Security -- Spring下最优秀的安全系统

最新推荐文章于 2022-05-10 10:13:34 发布
最新推荐文章于 2022-05-10 10:13:34 发布
阅读量1.3k 收藏 4
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/cfhgcvb/article/details/86524831
版权
                 

一 Acegi安全系统介绍

    Author: cac 差沙 

    Acegi是Spring Framework下最成熟的安全系统，它提供了强大灵活的企业级安全服务，如完善的认证和授权机制，Http资源访问控制，Method 调用访问控制，AccessControl List (ACL) 基于对象实例的访问控制，Yale Central Authentication Service(CAS) 耶鲁单点登陆，X509 认证，当前所有流行容器的认证适配器，Channel Security频道安全管理等功能。

1.1 网站资源

官方网站      http://acegisecurity.sourceforge.net
论坛            http://forum.springframework.org/forumdisplay.php?f=33
Jira              http://opensource.atlassian.com/projects/spring/browse/SEC

1.2 多方面的安全控制粒度

  1. URL 资源访问控制
     http://apps:8080/index.htm -> for public
     http://apps:8080/user.htm -> for authorized user
  2. 方法调用访问控制
    public void getData() -> all user
    public void modifyData() -> supervisor only
  3. 对象实例保护
    order.getValue() < $100 -> all user
    order.getValue() > $100 -> supervisor only

1.3 非入侵式安全架构

  1. 基于Servlet Filter和Spring aop,  使商业逻辑和安全逻辑分开，结构更清晰
  2. 使用Spring 来代理对象，能方便地保护方法调用

1.4 其它安全架构

    Acegi只是安全框架之一，其实还存在其它优秀的安全框架可供选择：

二 Acegi安全系统的配置

      Acegi 的配置看起来非常复杂,但事实上在实际项目的安全应用中我们并不需要那么多功能,清楚的了解Acegi配置中各项的功能，有助于我们灵活的运用Acegi于实践中。

2.1 在Web.xml中的配置

1)  FilterToBeanProxy
　　Acegi通过实现了Filter接口的FilterToBeanProxy提供一种特殊的使用Servlet Filter的方式，它委托Spring中的Bean --FilterChainProxy来完成过滤功能，这好处是简化了web.xml的配置，并且充分利用了SpringIOC的优势。FilterChainProxy包含了处理认证过程的filter列表，每个filter都有各自的功能。

    <filter>
        <filter-name>Acegi Filter Chain Proxy</filter-name>
        <filter-class>org.acegisecurity.util.FilterToBeanProxy</filter-class>
        <init-param>
            <param-name>targetClass</param-name>
            <param-value>org.acegisecurity.util.FilterChainProxy</param-value>
        </init-param>
    </filter>

2) filter-mapping
　　<filter-mapping>限定了FilterToBeanProxy的URL匹配模式,只有*.do和*.jsp和/j_acegi_security_check 的请求才会受到权限控制，对javascript,css等不限制。

   <filter-mapping>
      <filter-name>Acegi Filter Chain Proxy</filter-name>
      <url-pattern>*.do</url-pattern>
    </filter-mapping>
    
    <filter-mapping>
      <filter-name>Acegi Filter Chain Proxy</filter-name>
      <url-pattern>*.jsp</url-pattern>
    </filter-mapping>
    
    <filter-mapping>
      <filter-name>Acegi Filter Chain Proxy</filter-name>
      <url-pattern>/j_acegi_security_check</url-pattern>
    </filter-mapping>

3) HttpSessionEventPublisher
　　<listener>的HttpSessionEventPublisher用于发布HttpSessionApplicationEvents和HttpSessionDestroyedEvent事件给spring的applicationcontext。

    <listener>
        <listener-class>org.acegisecurity.ui.session.HttpSessionEventPublisher</listener-class>
    </listener>


2.2 在applicationContext-acegi-security.xml中

2.2.1 FILTER CHAIN

　　FilterChainProxy会按顺序来调用这些filter,使这些filter能享用Spring ioc的功能,CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON定义了url比较前先转为小写，PATTERN_TYPE_APACHE_ANT定义了使用Apache ant的匹配模式 

    <bean id="filterChainProxy" class="org.acegisecurity.util.FilterChainProxy">
        <property name="filterInvocationDefinitionSource">
            <value>
                CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
                PATTERN_TYPE_APACHE_ANT
               /**=httpSessionContextIntegrationFilter,authenticationProcessingFilter,
basicProcessingFilter,rememberMeProcessingFilter,anonymousProcessingFilter,
 exceptionTranslationFilter,filterInvocationInterceptor
            </value>
        </property>
    </bean>

2.2.2 基础认证

1) authenticationManager
　　起到认证管理的作用，它将验证的功能委托给多个Provider，并通过遍历Providers,以保证获取不同来源的身份认证，若某个Provider能成功确认当前用户的身份，authenticate()方法会返回一个完整的包含用户授权信息的Authentication对象，否则会抛出一个AuthenticationException。
Acegi提供了不同的AuthenticationProvider的实现,如：
        DaoAuthenticationProvider 从数据库中读取用户信息验证身份
        AnonymousAuthenticationProvider 匿名用户身份认证
        RememberMeAuthenticationProvider 已存cookie中的用户信息身份认证
        AuthByAdapterProvider 使用容器的适配器验证身份
        CasAuthenticationProvider 根据Yale中心认证服务验证身份, 用于实现单点登陆
        JaasAuthenticationProvider 从JASS登陆配置中获取用户信息验证身份
        RemoteAuthenticationProvider 根据远程服务验证用户身份
        RunAsImplAuthenticationProvider 对身份已被管理器替换的用户进行验证
        X509AuthenticationProvider 从X509认证中获取用户信息验证身份
        TestingAuthenticationProvider 单元测试时使用

        每个认证者会对自己指定的证明信息进行认证，如DaoAuthenticationProvider仅对UsernamePasswordAuthenticationToken这个证明信息进行认证。

<bean id="authenticationManager" class="org.acegisecurity.providers.ProviderManager">
        <property name="providers">
            <list>
                <ref local="daoAuthenticationProvider"/>
                <ref local="anonymousAuthenticationProvider"/>
                <ref local="rememberMeAuthenticationProvider"/>
            </list>
        </property>
</bean>


2) daoAuthenticationProvider
　　进行简单的基于数据库的身份验证。DaoAuthenticationProvider获取数据库中的账号密码并进行匹配，若成功则在通过用户身份的同时返回一个包含授权信息的Authentication对象，否则身份验证失败，抛出一个AuthenticatiionException。

    <bean id="daoAuthenticationProvider" class="org.acegisecurity.providers.dao.DaoAuthenticationProvider">
        <property name="userDetailsService" ref="jdbcDaoImpl"/>
        <property name="userCache" ref="userCache"/>
        <property name="passwordEncoder" ref="passwordEncoder"/>
   </bean>


3) passwordEncoder 
　　使用加密器对用户输入的明文进行加密。Acegi提供了三种加密器:
PlaintextPasswordEncoder—默认，不加密，返回明文.
ShaPasswordEncoder—哈希算法(SHA)加密
Md5PasswordEncoder—消息摘要(MD5)加密

<bean id="passwordEncoder" class="org.acegisecurity.providers.encoding.Md5PasswordEncoder"/>


4) jdbcDaoImpl 
　　用于在数据中获取用户信息。acegi提供了用户及授权的表结构，但是您也可以自己来实现。通过usersByUsernameQuery这个SQL得到你的(用户ID,密码,状态信息);通过authoritiesByUsernameQuery这个SQL得到你的(用户ID,授权信息)

 <bean id="jdbcDaoImpl" class="org.acegisecurity.userdetails.jdbc.JdbcDaoImpl">
        <property name="dataSource" ref="dataSource"/>
        <property name="usersByUsernameQuery">
            <value>select loginid,passwd,1 from users where loginid = ?</value>
        </property>
        <property name="authoritiesByUsernameQuery">
            <value>select u.loginid,p.name from users u,roles r,permissions p,user_role ur,role_permis rp where u.id=ur.user_id and r.id=ur.role_id and p.id=rp.permis_id and
                r.id=rp.role_id and p.status='1' and u.loginid=?</value>
        </property>
</bean>

5) userCache　&  resourceCache 
　　缓存用户和资源相对应的权限信息。每当请求一个受保护资源时，daoAuthenticationProvider就会被调用以获取用户授权信息。如果每次都从数据库获取的话，那代价很高，对于不常改变的用户和资源信息来说，最好是把相关授权信息缓存起来。(详见 2.6.3 资源权限定义扩展 )
userCache提供了两种实现: NullUserCache和EhCacheBasedUserCache, NullUserCache实际上就是不进行任何缓存，EhCacheBasedUserCache是使用Ehcache来实现缓功能。

    <bean id="userCacheBackend" class="org.springframework.cache.ehcache.EhCacheFactoryBean">
        <property name="cacheManager" ref="cacheManager"/>
        <property name="cacheName" value="userCache"/>
    </bean>
    <bean id="userCache" class="org.acegisecurity.providers.dao.cache.EhCacheBasedUserCache" autowire="byName">
        <property name="cache" ref="userCacheBackend"/>
      </bean>
    <bean id="resourceCacheBackend" class="org.springframework.cache.ehcache.EhCacheFactoryBean">
        <property name="cacheManager" ref="cacheManager"/>
        <property name="cacheName" value="resourceCache"/>
    </bean>
    <bean id="resourceCache" class="org.springs
最低0.47元/天 解锁文章
这个一看就是装裱
关注
  • 0
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
acegisecurity内所有jar包
03-19
包含acegi-security-1.0.7.jar，acegi-security-1.0.7-sources.jar，acegi-security-cas-1.0.7.jar，acegi-security-cas-1.0.7-sources.jar，acegi-security-catalina-1.0.7.jar，acegi-security-catalina-1.0.7-sources.jar，acegi-security-jboss-1.0.7.jar，acegi-security-jboss-1.0.7-sources.jar，acegi-security-jetty-1.0.7.jar，acegi-security-jetty-1.0.7-sources.jar，acegi-security-resin-1.0.7.jar，acegi-security-resin-1.0.7-sources.jar，acegi-security-samples-contacts-1.0.7-sources.jar，acegi-security-samples-tutorial-1.0.7-sources.jar,acegi-security-tiger-1.0.7.jar,acegi-security-tiger-1.0.7-sources.jar等jar
acegi-security-tiger-1.0.0-RC2.jar.zip
07-17
Acegi Security是一个已退役的安全框架，它为Java平台上的Spring框架提供了全面的身份验证和授权服务。这个"acegi-security-tiger-1.0.0-RC2.jar.zip"压缩包包含的是Acegi Security的一个早期版本——1.0.0 Release ...
Acegi框架介绍
Hello World!
03-16 958
原文网址：http://www.oschina.net/question/12_8396 概述     对于任何一个完整的应用系 统，完善的认证和授权机制是必不可少的。Acegi Security（以下简称Acegi）是一个能为基于Spring的企业应用提供强大而灵活安全访问控制解决方案的框架，Acegi已经成为 Spring官方的一个子项目，所以也称为Spring Security。它通过
Spring安全系统_Acegi Security-1
从前有座山
10-19 893
Spring安全系统：Acegi Security- - http://starrynight.blogdriver.com/starrynight/204036.htmlSpring安全系统：Acegi Security- -                                       Acegi简介       Acegi安全系统
acegi security
peng_kan的博客
08-26 294
beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.spri
SpingSecurity框架重要知识点（理解）
tigerhhzz的博客
05-10 442
一，SpingSecurity本质是一个过滤器链（11个过滤器） 1.HttpSessionContextIntegrationFilter 位于过滤器顶端，第一个起作用的过滤器。 用途一，在执行其他过滤器之前，率先判断用户的session中是否已经存在一个SecurityContext了。如果存在，就把SecurityContext拿出来，放到SecurityContextHolder中，供Spring Security的其他部分使用。如果不存在，就创建一个SecurityContext出来，还是放到Se
acegisecurity-1.0.7.zip_.acegisecuri_acegi security 1.0.7_acegi
最新发布
09-24
Acegi Security是一款在Java平台上广泛使用的安全框架，它为Spring应用程序提供了高级的身份验证、授权和服务保护功能。在本文中，我们将深入探讨Acegi Security 1.0.7版本中的核心概念和关键特性。 首先，我们要...
acegi-security-1.0.0-sources.jar
06-23
spring-security的早期版本，acegi-security-1.0.0的源码。
Spring安全系统：Acegi Security--星月夜
05-29
Spring安全系统：Acegi Security--星月夜
acegi-security-1.0.7.jar.zip
07-17
这个"acegi-security-1.0.7.jar.zip"文件包含的是Acegi Security 1.0.7版本的库，它是一个压缩的Java Archive（JAR）文件，专门设计用于增强Spring框架的安全功能。 Acegi Security的核心功能包括身份验证、授权和...
acegi-security
11-24
acegi-security jar包
acegi-security-1.0.7.jar
03-23
acegi-security-1.0.7.jar
Acegi Security整合CAS实例
04-09
Acegi Security整合CAS实例
Acegi简介
蓝剑专栏
03-27 983
在Acegi安全系统中，需要被认证的用户，系统或代理称为"Principal"。Acegi安全系统和其他的安全系统不同，它并没有角色和用户组的概念。Acegi系统设计关键组件Acegi安全系统包含以下七个关键的功能组件：1 Authentication对象，包含了Principal，Credential和Principal的授权信息。同时还可以包含关于发起认证请求的客户的其他信息，如IP地
Spring Security（Acegi）实现原理与应用一
胡小远的专栏
10-25 1326
spring security(acegi)实现原理一，从web DelegatingFilterProxy代理FilterChainProxy配置说起一步一步探其奥秘。
Spring Security（Acegi）实现原理与应用二
胡小远的专栏
10-29 1069
接上篇—– 1.FilterSecurityInterceptor 上篇说到如下代码会自动初始化FilterChainProxy ，当然了那是 spring自己默认的初始化，这个就不多说了，我们直接从自定义开始来进步了解这个过程，这样也便于我们灵活的去运用，我们重点关注FilterSecurityInterceptor http auto-config='true'> i
Acegi安全系统介绍
小肖的专栏
10-08 1246
1.1 Acegi安全系统介绍      Acegi是一个能够为基于Spring的应用系统提供描述性安全保护的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring对依赖注入和面向切面编程的支持。       当保护Web应用系统时，Acegi使用Servlet过滤器来拦截Servlet请求，以实施身份认证并强制安全性。并且，在第11.4.1节你将会
Spring-Security深度解析：企业级安全控制与应用教程
Spring-Security是一个强大的安全框架，专为基于Spring的企业应用系统提供声明式安全访问控制。它由Spring项目组的AcegiSecurity发展而来，旨在简化并整合J2EE企业应用的安全服务，特别是在采用Spring作为基础架构的...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值