Spring Security学习总结2_2

说了这么些，那我们到底应该如何来实现这个ObjectDefinitionSource接口呢？

首先还是说说Acegi Seucrity 1.x 版本，org.acegisecurity.intercept.web 和org.acegisecurity.intercept.method 包下AbstractFilterInvocationDefinitionSource 和AbstractMethodDefinitionSource 两个抽象类，这两个类分别实现了FilterInvocationDefinitionSource 和MethodDefinitionSource 接口，而这两个接口都继承自ObjectDefinitionSource接口并实现了其中的方法。两个抽象类都使用方法模板模式来实现，将具体的实现方法交给了子类。

提示： 两个抽象类实现了各自接口的 getAttributes(Object object) 方法并在此方法中调用lookupAttributes (Method method) 方法，而实际该方法在抽象类中并没有具体的实现，而是留给了子类去实现。

在Acegi Seucrity 1.x版本中，系统为我们提供了默认的实现，MethodDefinitionMap 类用于返回方法的权限信息，而PathBasedFilterInvocationDefinitionMap 类和RegExpBasedFilterInvocationDefinitionMap 类用于返回URL资源对应的权限信息，也就是ConfigAttributeDefinition对象，现在也许明白一点儿了吧，我们只要按照这三个类的实现方式（也就是”模仿”，从后面的代码中你可以看到）从数据库中获取用户信息和权限信息然后封装成一个ConfigAttributeDefinition 对象返回即可（其实就是一个List列表，前面已经介绍过了），相信通过Hibernate从数据库中获取一个列表应该是再容易不过的了。

回到Spring Security ，系统为我们提供的默认实现有些变化，DefaultFilterInvocationDefinitionSource 和DelegatingMethodDefinitionSource 两个类，从名字也可以看出来它们分别是干什么的了。这两个类分别实现了FilterInvocationDefinitionSource 和MethodDefinitionSource 接口，而这两个接口都继承自ObjectDefinitionSource接口并实现了其中的方法，这和1.x版本中一样。它们都是从配置文件中得到资源和相应权限的信息。

通过上面的介绍，你或许更名白了一些，那我们下面要做的就是实现系统的FilterInvocationDefinitionSource 和MethodDefinitionSource 接口，只是数据源不是从配置文件中读取配置信息是数据库而已。

我们这里对比着 Acegi Seucrity 1.x 版本中的实现，我个人认为它更好理解，还是请你好好看看源代码。

1 自定义FilterInvocationDefinitionSource

在2.0中，系统没有在系统抽象类，所以我们还是使用1.x中的实现方式，首先通过一个抽象类来实现 ObjectDefinitionSource 接口。代码如下：

 1   public  ConfigAttributeDefinition getAttributes(Object object)
 2  
 3               throws  IllegalArgumentException {
 4  
 5           if  (object  ==   null   ||   ! ( this .supports(object.getClass()))) {
 6  
 7              thrownew IllegalArgumentException( " Object must be a FilterInvocation " );
 8  
 9          }
10  
11          String url  =  ((FilterInvocation)object).getRequestUrl();
12  
13          returnthis.lookupAttributes(url);
14  
15       }
16  
17   publicabstract ConfigAttributeDefinition lookupAttributes(String url);
18  
19   @SuppressWarnings( " unchecked " )
20  
21   publicabstract Collection getConfigAttributeDefinitions();
22  
23   @SuppressWarnings( " unchecked " )
24  
25   publicboolean supports(Class clazz) {
26  
27        return  FilterInvocation. class .isAssignableFrom(clazz);
28  
29   }

这段代码你也可以在1.0中找到，getAttributes 方法的入口参数是一个Object对象，这是由系统传给我们的，因为是URL资源的请求，所有可以将这个Object对象强制转换为 FilterInvocation 对象，并通过调用它的getRequestUrl() 方法来获取用户当前请求的URL地址，然后调用子类需要实现的lookupAttributes 方法并将该URL地址作为参数传给该方法，下面是具体的实现类DataBaseFilterInvocationDefinitionSource 类的代码，也就是我们需要实现抽象父类的lookupAttributes方法：

 

  1   @Override
  2  
  3   public  ConfigAttributeDefinition lookupAttributes(String url) {
  4  
  5           //  TODO Auto-generated method stub
  6  
  7           // 初始化数据，从数据库读取
  8  
  9       cacheManager.initResourceInCache();
 10  
 11        if  (isUseAntPath()) {
 12  
 13           int  firstQuestionMarkIndex  =  url.lastIndexOf( " ? " );
 14  
 15           if  (firstQuestionMarkIndex  !=   - 1 ) {
 16  
 17              url  =  url.substring( 0 , firstQuestionMarkIndex);
 18  
 19          }
 20  
 21       }
 22  
 23        // 将URL在比较前都转换为小写
 24  
 25        if  (isConvertUrlToLowercaseBeforeComprison()) {
 26  
 27          url  =  url.toLowerCase();
 28  
 29       }
 30  
 31        // 获取所有的URL
 32  
 33       List < String >  urls  =  cacheManager.getUrlResources();
 34  
 35        // 倒叙排序--如果不进行排序，如果用户使用浏览器的导航工具访问页面可能出现问题
 36  
 37        // 例如：访问被拒绝后用户刷新页面
 38  
 39       Collections.sort(urls);
 40  
 41       Collections.reverse(urls);
 42  
 43       GrantedAuthority[] authorities  =   new  GrantedAuthority[ 0 ];
 44  
 45        // 将请求的URL与配置的URL资源进行匹配，并将正确匹配的URL资源对应的权限
 46  
 47        // 取出
 48  
 49        for  (String resourceName_url : urls) {
 50  
 51           boolean  matched  =   false ;
 52  
 53           // 使用ant匹配URL
 54  
 55           if  (isUseAntPath()) {
 56  
 57              matched  =  pathMatcher.match(resourceName_url, url);
 58  
 59          }  else  { // perl5编译URL
 60  
 61              Pattern compliedPattern  =   null ;
 62  
 63              Perl5Compiler compiler  =   new  Perl5Compiler();
 64  
 65               try  {
 66  
 67                 compliedPattern  =  compiler.compile(resourceName_url, Perl5Compiler.READ_ONLY_MASK);
 68  
 69              }  catch  (MalformedPatternException e) {
 70  
 71                 e.printStackTrace();
 72  
 73              }
 74  
 75              matched  =  matcher.matches(url, compliedPattern);
 76  
 77          }
 78  
 79           // 匹配正确,获取响应权限
 80  
 81           if  (matched) {
 82  
 83               // 获取正确匹配URL资源对应的权限
 84  
 85              ResourcDetail detail  =  cacheManager.getResourcDetailFromCache(resourceName_url);
 86  
 87              authorities  =  detail.getAuthorities();
 88  
 89               break ;
 90  
 91          }
 92  
 93   }
 94  
 95           // 将权限封装成ConfigAttributeDefinition对象返回（使用ConfigAttributeEditor）
 96  
 97           if  (authorities.length  >   0 ) {
 98  
 99              String authTemp  =   "" ;
100  
101               for  (GrantedAuthority grantedAuthority : authorities) {
102  
103                 authTemp  +=  grantedAuthority.getAuthority()  +   " , " ;
104  
105              }
106  
107              String authority  =  authTemp.substring( 0 , (authTemp.length()  -   1 ));
108  
109              System.out.println(authority);
110  
111              ConfigAttributeEditor attributeEditor  =   new  ConfigAttributeEditor();
112  
113              attributeEditor.setAsText(authority.trim());
114  
115               return  (ConfigAttributeDefinition)attributeEditor.getValue();
116  
117          }
118  
119          returnnull;
120  
121    }

我们这里同样使用了缓存，它参考自系统的UseCache接口的实现，这里不在介绍，你可以查看本例的源代码和系统的实现和本例的配置文件。这里将用户请求的URL地址与从数据库中获取的受保护的URL资源使用 ant 和perl5匹配（这取决与你的配置），如果匹配成功则从缓存中获取访问该资源需要的权限信息，并将其封装成ConfigAttributeDefinition 对象返回，这里使用org.springframework.security.ConfigAttributeEditor 类，该类提供了一个setAsText(String s) ，该方法收取一个字符串作为参数，在该方法中创建ConfigAttributeDefinition 对象并将字符串参数传递给ConfigAttributeDefinition类的构造函数 来初始化该对象。详细的实现还是请你看源代码。现在我们在配置文件添加自己的实现，如下：

1   < bean  id ="objectDefinitionSource"
2       class ="org.security.intercept.web.DataBaseFilterInvocationDefinitionSource"
3        p:convertUrlToLowercaseBeforeComprison ="true"
4        p:useAntPath ="true"
5        p:cacheManager-ref ="securityCacheManager" />

    convertUrlToLowercaseBeforeComprison 属性 定义了在匹配之前将URL都转换为小写，useAntPath属性 定义使用Ant方式匹配URL，cacheManager 属性定义了指向另一个Bean的引用，我们使用它从缓存中获取相应的信息。

 

2 自定义 MethodDefinitionSource

将方法资源存放在数据库中的实现与 URL资源类似，这里不在累述，下面是 DataBaseMethodInvocationDefinitionSource 的 源代码，读者可以参考注释进行阅读（该类也是继承自一个自定义的抽象类 AbstractMethodDefinitionSource ）：

 1   public  ConfigAttributeDefinition lookupAttributes(Method method, Class targetClass) {
 2  
 3           //  TODO Auto-generated method stub
 4  
 5           // 初始化资源并缓存
 6  
 7          securityCacheManager.initResourceInCache();
 8  
 9           // 获取所有方法资源
10  
11          List < String >  methods  =  securityCacheManager.getMethodResources();
12  
13           // 权限集合
14  
15          Set < GrantedAuthority >  authSet  =   new  HashSet < GrantedAuthority > ();
16  
17           // 遍历方法资源，并获取匹配的资源名称，然后从缓存中获取匹配正确
18  
19           // 的资源对应的权限（ResourcDetail对象的GrantedAuthority[]对象数据）
20  
21           for  (String resourceName_method : methods) {
22  
23               if  (isMatch(targetClass, method, resourceName_method)) {
24  
25                 ResourcDetail detail  =  securityCacheManager.getResourcDetailFromCache(resourceName_method);
26  
27                  if  (detail  ==   null ) {
28  
29                      break ;
30  
31                 }
32  
33                 GrantedAuthority[] authorities  =  detail.getAuthorities();
34  
35                  if  (authorities  ==   null   ||  authorities.length  ==   0 ) {
36  
37                      break ;
38  
39                 }
40  
41                 authSet.addAll(Arrays.asList(authorities));
42  
43              }
44  
45          }
46  
47           if  (authSet.size()  >   0 ) {
48  
49              String authString  =   "" ;
50  
51               for  (GrantedAuthority grantedAuthority : authSet) {
52  
53                 authString  +=  grantedAuthority.getAuthority()  +   " , " ;
54  
55              }
56  
57              String authority  =  authString.substring( 0 , (authString.length()  -   1 ));
58  
59              System.out.println( " >>>>>>>>>>>>>>> "   +  authority);
60  
61              ConfigAttributeEditor attributeEditor  =   new  ConfigAttributeEditor();
62  
63              attributeEditor.setAsText(authority.trim());
64  
65               return  (ConfigAttributeDefinition)attributeEditor.getValue();
66  
67          }
68  
69          returnnull;
70  
71   }

    isMatch 方法用于 对用户当前调用的方法与受保护的方法进行匹配，与URL资源类似，请参考代码。下面是applicationContext-security.xml 文件中的配置，请查看该配置文件。

1   < bean  id ="methodDefinitionSource"
2      class ="org.security.intercept.method.DataBaseMethodInvocationDefinitionSource"
3       p:securityCacheManager-ref ="securityCacheManager" />

securityCacheManager 属性定义了指向另一个Bean的引用，我们使用它从缓存中获取相应的信息。这个Bean和前一节中介绍的一样。只是这里我们获取的是方法保护定义资源。