Spring Security 整合freemaker 实现简单登录和角色控制

写这篇文章是因为我做了一个电商网站项目，近期刚加上权限控制。整个过程很简单，在此给大家梳理一下，也算是自己对知识点的一个总结。

一、需求分析：

我们都知道，电商网站在权限这一块，有两大块内容：

       1、用户未登录，部分页面拒绝访问（如：下订单）

       2、不同角色用户登录看到的功能模块不一样（如：买家、卖家、客服等）

基于以上需求，接下来我们要解决的就是对用户登录的拦截以及对权限和角色的控制。

二、项目环境说明：

使用SSM(SpringMVC+Spring+Mybatis)框架，mysql数据库、maven项目管理工具，freemaker前端引擎。对以上又不懂的朋友们可以自己去百度了解，这里就废话不多说了。

三、前期储备知识（如果对Spring Security很熟悉的可以跳过此步）

Security框架可以精确控制页面的一个按钮、链接，它在页面上权限的控制实际上是通过它提供的标签来做到的。

• 简介

       一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方式的安全框架（简单说是对访问权限进行控制嘛），应用的安全性包括用户认证（Authentication）和用户授权（Authorization）两个部分。用户认证指的是验证某个用户是否为系统中的合法主体，也就是说用户能否访问该系统。用户认证一般要求用户提供用户名和密码。系统通过校验用户名和密码来完成认证过程。用户授权指的是验证某个用户是否有权限执行某个操作。在一个系统中，不同用户所具有的权限是不同的。比如对一个文件来说，有的用户只能进行读取，而有的用户可以进行修改。一般来说，系统会为不同的用户分配不同的角色，而每个角色则对应一系列的权限。spring security的主要核心功能为认证和授权，所有的架构（如：Shiro安全框架）也是基于这两个核心功能去实现的。

• 框架原理

     众所周知 想要对对Web资源进行保护，最好的办法莫过于Filter，要想对方法调用进行保护，最好的办法莫过于AOP。所以springSecurity在我们进行用户认证以及授予权限的时候，通过各种各样的拦截器来控制权限的访问，从而实现安全。

        如下为其主要过滤器  ：

        WebAsyncManagerIntegrationFilter 
        SecurityContextPersistenceFilter 
        HeaderWriterFilter 
        CorsFilter 
        LogoutFilter
        RequestCacheAwareFilter
        SecurityContextHolderAwareRequestFilter
        AnonymousAuthenticationFilter
        SessionManagementFilter
        ExceptionTranslationFilter
        FilterSecurityInterceptor
        UsernamePasswordAuthenticationFilter
        BasicAuthenticationFilter

• 框架的核心组件

      SecurityContextHolder：提供对SecurityContext的访问
      SecurityContext,：持有Authentication对象和其他可能需要的信息
      AuthenticationManager 其中可以包含多个AuthenticationProvider
      ProviderManager对象为AuthenticationManager接口的实现类
      AuthenticationProvider 主要用来进行认证操作的类 调用其中的authenticate()方法去进行认证操作
      Authentication：Spring Security方式的认证主体
     GrantedAuthority：对认证主题的应用层面的授权，含当前用户的权限信息，通常使用角色表示
     UserDetails