如何在Spring中集成Acegi 1.x安全框架

最新推荐文章于 2024-07-11 14:56:13 发布
最新推荐文章于 2024-07-11 14:56:13 发布
阅读量663 收藏
点赞数
分类专栏： WEB开发 文章标签： acegi spring 框架 authentication class bean

关键字: spring, acegi

    Acegi Security是一个能为基于Spring的企业应用提供强大而灵活安全访问控制解决方案的框架，Acegi已经成为Spring官方的一个子项目，所以也称为Spring Security。它通过在Spring容器中配置一组Bean，充分利用Spring的IoC和AOP功能，提供声明式安全访问控制的功能。
    下面将详细介绍Acegi在Spring中如何配置，配置范例是在acegi-security-1.0.6版本下测试通过的。


1、在web.xml中的配置
Xml代码 复制代码
  1. <!-- 声明Spring Bean的配置文件列表 -->  
  2. <context-param>  
  3.     <param-name>contextConfigLocation</param-name>  
  4.     <param-value>  
  5.         /WEB-INF/config/applicationContext.xml,   
  6.         /WEB-INF/config/ beans-acegi.xml   
  7.     </param-value>  
  8. </context-param>  
  9.   
  10. <!-- 声明Acegi过滤器 -->  
  11. <filter>  
  12.     <filter-name>securityFilter</filter-name>      
  13.     <filter-class>org.acegisecurity.util.FilterToBeanProxy</filter-class>      
  14.     <init-param>      
  15.         <param-name>targetClass</param-name>      
  16.         <param-value>org.acegisecurity.util.FilterChainProxy</param-value>      
  17.     </init-param>      
  18. </filter>  
  19.   
  20. <filter-mapping>  
  21.     <filter-name>securityFilter</filter-name>  
  22.         <url-pattern>/j_security_check</url-pattern>  
  23.     </filter-mapping>  
  24. <filter-mapping>  
  25.     <filter-name>securityFilter</filter-name>      
  26.     <url-pattern>/*</url-pattern>      
  27. </filter-mapping>  
  28.        
  29. 说明：   
  30.     1）安全框架会对/j_security_check和所有的请求进行权限控制。   
  31.     2）Acegi通过实现了Filter接口的FilterToBeanProxy提供一种特殊的使用Servlet Filter的方式，它委托Spring中的Bean -- FilterChainProxy来完成过滤功能，以便简化web.xml的配置，并且可以充分利用Spring IOC的优势。FilterChainProxy包含了处理认证过程的filter列表，每个filter都有各自的功能。  


2、filterChainProxy的配置
Xml代码 复制代码
  1. <bean id="filterChainProxy" class="org.acegisecurity.util.FilterChainProxy">  
  2.     <property name="filterInvocationDefinitionSource">  
  3.         <value>  
  4.             CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON   
  5.             PATTERN_TYPE_APACHE_ANT   
  6.             /**=httpSessionContextIntegrationFilter,logoutFilter,authenticationProcessingFilter,securityContextHolderAwareRequestFilter,anonymousProcessingFilter,exceptionTranslationFilter,filterInvocationInterceptor</value>      
  7.     </property>  
  8. </bean>  
  9. 说明：   
  10.     1）  过滤器列表必须位于同一行内，中间不能换行。这些过滤器将按顺序被调用。   
  11.     2）  CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON：表示URL比较前先转为小写。   
  12.     3）  PATTERN_TYPE_APACHE_ANT：表示使用Apache Ant的匹配模式  


3、httpSessionContextIntegrationFilter的配置
Xml代码 复制代码
  1. <bean id="httpSessionContextIntegrationFilter" class="org.acegisecurity.context.HttpSessionContextIntegrationFilter"/>  
  2. 说明：   
  3.     1）  必须将该Filter配置为过滤器链中第一个过滤器，使验证信息能跨越多个请求。   
  4.     2）  为了解决认证主体安全信息能在多个Http请求之间保持共享，Acegi将认证主体安全信息缓存于HttpSession中，当用户请求一个受限的资源时，Acegi通过HttpSessionContextIntegrationFilter将认证主体信息从HttpSession中加载到SecurityContext实例中，认证主体关联的SecurityContext实例则保存在Acegi容器级的SecurityContextHolder里。当请求结束之后，HttpSessionContextIntegrationFilter执行相反的操作，将SecurityContext中的认证主体安全信息重新转存到HttpSession中，然后从SecurityContextHolder中清除对应的SecurityContext实例。   
  5.     3）  SecurityContextHolder是框架级的容器，它保存着和所有用户关联SecurityContext实例，SecurityContext承载着用户的帐号及权限信息，通过以下方法可以取到这些信息：SecurityContextHolder.getContext().getAuthentication()。  


4、logoutFilter的配置
Xml代码 复制代码
  1.     <bean id="logoutFilter" class="org.acegisecurity.ui.logout.LogoutFilter">  
  2.         <constructor-arg value="/index.jsp"/>  
  3.         <constructor-arg>  
  4.             <list>  
  5.                 <bean class="org.acegisecurity.ui.logout.SecurityContextLogoutHandler"/>  
  6.             </list>  
  7.         </constructor-arg>  
  8.         <property name="filterProcessesUrl" value="/j_acegi_logout"/>  
  9.     </bean>  
  10.     说明：   
  11.         1）负责处理退出系统后所需要的清理工作。   
  12.         2）  LogoutFilter过滤器的构造方法有两个参数：   
  13. 一个表示成功退出系统后转向的URL；   
  14. 另一个表示退出系统前需要执行的操作，执行的操作可以有多个。   
  15.         3）  SecurityContextLogoutHandler操作类会把HttpSession销毁，清除SecurityContextHolder里的SecurityContext实例，把rememberMeServices从cookies中清除。然后重定向到指定的退出登录页面。   
  16.         4）  filterProcessesUrl：指定用于响应退出系统请求的URL，其默认值为 /j_acegi_logout。当访问的URL为filterProcessesUrl属性值时，logoutFilter过滤器将会被调用。  


5、认证处理过滤器authenticationProcessingFilter的配置
Xml代码 复制代码
  1. <bean id="authenticationProcessingFilter" class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilter">  
  2.     <property name="filterProcessesUrl" value="/j_security_check"/>  
  3.     <property name="authenticationFailureUrl" value="/index.jsp?login_error=1"/>  
  4.     <property name="defaultTargetUrl" value="/main.action"/>  
  5.     <property name="authenticationManager" ref="authenticationManager"/>  
  6.     <property name="rememberMeServices" ref=""/><!-可选 -->  
  7. </bean>  
  8. 说明：   
  9.     1）负责处理基于表单的身份验证请求。   
  10.     2）当接收到与filterProcessesUrl所定义相同的请求时，它会首先通过AuthenticationManager来验证用户身份。如果验证成功，则重定向到defaultTargetUrl所定义的成功登陆页面。如果验证失败，则再从 rememberMeServices中获取用户身份。若再获取失败，则重定向到auhenticationFailureUrl所定义的登陆失败页面。   
  11.     3）filterProcessesUrl：默认值为/j_acegi_security_check。该值必须与登录页面form的action值一致。   
  12.    form中输入用户名的input控件的name必须为j_username；输入密码的input控件的name必须为j_password。   
  13.     4）rememberMeServices 负责通过以cookie的形式保存先前的用户登录信息。在Authentication对象不存在时, rememberMeProcessingFilter会调用rememberMeServices的autoLogin()方法，尝试在cookies 中获取用户登录信息，如果存在则返回Authentication对象。在每次用户登录时，如果设置了RememberMe功能，在验证用户身份成功后，则会调用loginSuccess()方法记录用户信息在cookies中，否则调用loginFail()方法清除cookie。  


6、认证管理器authenticationManager的配置
Xml代码 复制代码
  1. <bean id="authenticationManager" class="org.acegisecurity.providers.ProviderManager">  
  2.     <property name="providers">  
  3.         <list>  
  4.             <ref local="daoAuthenticationProvider"/>  
  5.             <ref local="anonymousAuthenticationProvider"/>  
  6.         </list>  
  7.     </property>  
  8. </bean>  
  9. 说明：   
  10.     1）认证管理器用来管理身份验证提供者。它将验证的功能委托给多个Provider，并通过遍历Providers, 以保证获取不同来源的身份认证，若某个Provider能成功确认当前用户的身份，authenticate()方法会返回一个完整的包含用户授权信息的Authentication对象，否则会抛出一个AuthenticationException。   
  11.     2）无论成功与否，认证管理器都会发布一个ApplicationEvent事件对象。  


7、身份验证提供者的配置
Xml代码 复制代码
  1. <bean id="daoAuthenticationProvider" class="org.acegisecurity.providers.dao.DaoAuthenticationProvider">  
  2.     <property name="userDetailsService" ref="userDao"/>  
  3.     <property name="userCache" ref="userCache"/>  
  4.     <property name="passwordEncoder" ref="passwordEncoder"/><!-可选 -->  
  5. </bean>  
  6. <bean id="anonymousAuthenticationProvider" class="org.acegisecurity.providers.anonymous.AnonymousAuthenticationProvider">  
  7.     <property name="key" value="anonymous"/>  
  8. </bean>  
  9.   
  10. <bean id="userDao" class="com.cjm.web.dao.impl.UserDaoImpl">  
  11.     <property name="sessionFactory" ref="sessionFactory"/>  
  12. </bean>  
  13.   
  14. <bean id="userCache" class="org.acegisecurity.providers.dao.cache.EhCacheBasedUserCache">  
  15.     <property name="cache">  
  16.         <bean class="org.springframework.cache.ehcache.EhCacheFactoryBean">  
  17.             <property name="cacheManager">  
  18.                 <bean class="org.springframework.cache.ehcache.EhCacheManagerFactoryBean"/>  
  19.             </property>  
  20.             <property name="cacheName" value="userCache"/>  
  21.         </bean>  
  22.     </property>  
  23. </bean>  
  24.   
  25. <bean id="passwordEncoder" class="org.acegisecurity.providers.encoding.Md5PasswordEncoder"/>  
  26. 说明：   
  27.     1）daoAuthenticationProvider：负责提供用户信息，包括用户名和密码。其中取用户名密码的工作交给userDetailsService来做。   
  28.     2）anonymousAuthenticationProvider：匿名用户身份验证。   
  29.     3）userDao：用于在数据库中获取用户信息。UserDaoImpl需要实现Acegi提供的UserDetailsService接口类。   
  30.     4）userCache：缓存用户和资源相对应的权限信息。每当请求一个受保护资源时，daoAuthenticationProvider就会被调用以获取用户授权信息。如果每次都从数据库获取的话，那代价很高，对于不常改变的用户和资源信息来说，最好是把相关授权信息缓存起来。   
  31.     5）passwordEncoder：使用加密器对用户输入的明文进行加密。Acegi提供了三种加密器：   
  32.         PlaintextPasswordEncoder---默认，不加密，返回明文   
  33.         ShaPasswordEncoder---哈希算法(SHA)加密   
  34.         d5PasswordEncoder---消息摘要(MD5)加密  


8、securityContextHolderAwareRequestFilter的配置
Xml代码 复制代码
  1. <bean id="securityContextHolderAwareRequestFilter" class="org.acegisecurity.wrapper.SecurityContextHolderAwareRequestFilter"/>  
  2. 说明：   
  3.     1）负责通过Decorate Model(装饰模式)装饰HttpServletRequest对象。   
  4. Wapper是ServletRequest包装类 HttpServletRequestWrapper的子类(SavedRequestAwareWrapper或者 SecurityContextHolderAwareRequestWrapper)。附上获取用户权限信息，request参数，header， Date，headers和cookies的方法。  


9、anonymousProcessingFilter的配置
Xml代码 复制代码
  1. <bean id="anonymousProcessingFilter" class="org.acegisecurity.providers.anonymous.AnonymousProcessingFilter">  
  2.     <property name="key" value="anonymous"/>  
  3.     <property name="userAttribute" value="anonymous,ROLE_ANONYMOUS"/>  
  4. </bean>  
  5. 说明：         1）该过滤器用于判断ContextHolder中是否有Authentication对象，如果没有就创建一个Authentication对象，其中包含的用户名是anonymous，用户权限是ROLE_ANONYMOUS。这使得没有登录的匿名用户能够自动的获得匿名的用户名和权限。  


10、exceptionTranslationFilter的配置
Xml代码 复制代码
  1.     <bean id="exceptionTranslationFilter" class="org.acegisecurity.ui.ExceptionTranslationFilter">  
  2.         <property name="authenticationEntryPoint">  
  3.             <bean class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilterEntryPoint">  
  4.                 <property name="loginFormUrl" value="/index.jsp"/>  
  5.                 <property name="forceHttps" value="false"/>  
  6.             </bean>  
  7.         </property>  
  8.         <property name="accessDeniedHandler">  
  9.             <bean class="org.acegisecurity.ui.AccessDeniedHandlerImpl">  
  10.                 <property name="errorPage" value="/accessDenied.jsp" />  
  11.             </bean>  
  12.         </property>  
  13.     </bean>  
  14.     说明：   
  15.         1）  该过滤器用于处理身份验证和授权过程中的异常情况。   
  16.         2）  authenticationEntryPoint：将用户重定向到一个基于HTML表单的登录页面。   
  17. loginFormUrl：指定登录页面。   
  18. forceHttps：指定是否强制使用HTTPS协议。   
  19.         3）errorPage：指定访问拒绝时要跳转到的页面。  


11、filterInvocationInterceptor的配置
Xml代码 复制代码
  1.     <bean id="filterInvocationInterceptor" class="org.acegisecurity.intercept.web.FilterSecurityInterceptor">  
  2.         <property name="authenticationManager" ref="authenticationManager"/>  
  3.         <property name="accessDecisionManager" ref="accessDecisionManager"/>  
  4.         <property name="objectDefinitionSource">  
  5.             <value>  
  6.                 PATTERN_TYPE_APACHE_ANT   
  7.                 /index.jsp*=ROLE_ANONYMOUS   
  8.                 /accessDenied.jsp*=ROLE_ANONYMOUS   
  9. /**/*.jsp*=ADMIN,SYS_MANAGER   
  10.                 /**/*.htm*=ADMIN,SYS_MANAGER   
  11.                 /**/*.action*=ADMIN,SYS_MANAGER   
  12.             </value>  
  13.         </property>  
  14.     </bean>  
  15.     说明：   
  16.     1）该Filter 会首先调用AuthenticationManager判断用户是否已登陆认证，如还没认证成功,则重定向到登陆界面。如认证成功，则从 Authentication中获取用户的权限。然后从objectDefinitionSource属性获取各种URL资源所对应的权限。最后调用 AccessDecisionManager来判断用户所拥有的权限与当前受保护的URL资源所对应的权限是否相匹配。如果匹配失败，则返回403错误给用户。如果匹配成功，则用户可以访问受保护的URL资源。  


12、访问决策管理器accessDecisionManager的配置
Xml代码 复制代码
  1. <bean id="accessDecisionManager" class="org.acegisecurity.vote.AffirmativeBased">  
  2.     <property name="allowIfAllAbstainDecisions" value="false"/>  
  3.     <property name="decisionVoters">  
  4.         <list>  
  5.             <bean class="org.acegisecurity.vote.RoleVoter">  
  6.                 <property name="rolePrefix" value=""/>  
  7.             </bean>  
  8.         </list>  
  9.     </property>  
  10. </bean>  
  11. 说明：   
  12.     1）通过投票机制来决定是否可以访问某一资源。Acegi提供三种投票通过策略的实现：   
  13.         AffirmativeBased（至少一个投票者同意方可通过）   
  14.         ConsensusBased（多数投票者同意方可通过）   
  15.         UnanimousBased（所有投票者同意方可通过）   
  16.     2）allowIfAllAbstainDecisions：设定是否允许 "没人反对就通过" 的投票策略。   
  17.     3）  rolePrefix：角色投票者支持的权限前缀，默认为ROLE_。权限必须以rolePrefix设定的值开头才能进行投票。  
jhrokin
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Acegi学习二
xu_zh_h的专栏
07-03 1333
组成   Acegi安全框架主要由安全管理对象、拦截器以及安全控制管理组件组成。安全管理对象是系统可以进行安全控制的实体，Acegi框架主要支持方法和URL请求两类安全管理对象；拦截器是Acegi中的重要部件，用来实现安全控制请求的拦截，针对不同的安全管理对象的安全控制请求使用不同的拦截器进行拦截；安全控制管理部件是实际实现各种安全控制的组件，对被拦截器拦截的请求进行安全管理与控制，主要组件包
acegi"安全控制"的设置-2
linuxstuding
05-21 149
acegi 的设置看起来非常复杂,但事实上在实际项目的安全应用中我们并不必那么多功能,清晰的了解acegi设置中各项的功能，有助于我们灵活的运用acegi于实践中。 2.1 在web.xml中的设置 1) filtertobeanproxy　　acegi通过实现了filter接口的filtertobeanproxy提供一种特别 的使用servlet filter的方式，他委托spri...
为spring加入acegi
umbrella_yxs的专栏
12-07 1176
参考appfuse为自己的项目加入acegi权限验证 ，第一步修改web.xml：context-param>        param-name>contextConfigLocationparam-name>        param-value>/WEB-INF/applicationContext.xml,/WEB-INF/security.xmlparam-value>conte
acegi security实践教程—logoutFilter应用以及调试
webdev
03-07 155
一个完整的系统应该都要注销功能。先不着急先代码，首先想象一下，注销后，该出现什么页面呢？ 注销后，是不是应该回到登陆页面，让用户重新登录，然后再重新判断过滤权限，一切从头开始。 具体开发步骤： 开发环境： MyEclispe10.7.1+tomcat6.0.37+acegi1.0.5+spring2.0 项目目录如下： 其中readme主要用来记录本次验证目的 ...
在Spring中集成Acegi 2.x安全框架
让我们的手指敲起锋利的代码勇敢前进！
01-11 875
Acegi是基于Spring的一个开源的安全认证框架，现在的最新版本是Spring Security 2.0。新版本增加了许多新的特性：新特性包括简化的配置，并增加了新的功能，包括OpenID、NTLM、JSR 250注解、AspectJ切入点（pointcut）支持、域ACL增强、RESTful URI授权、组、分级角色、用户管理API、数据库支持的“remember me”，portlet认证
如何在Spring中集成Acegi 2.x安全框架
10-10
在Spring框架中集成Acegi 2.x安全框架，可以实现高度可定制的权限管理和认证机制。Acegi（现已被Spring Security 2.0所取代）是Spring的一个扩展，提供了全面的安全解决方案，包括用户身份验证、访问控制、会话管理...
Spring集成Acegi安全框架在J2EE中的应用
01-31
然而对于一个完整的应用系统，完善的认证和授权机制是必不可少的，Acegi是一个基于Spring的安全框架，探讨了Spring框架集成Acegi的方法，即在Spring的IOC配置文件中定义所有的安全逻辑，改变了传统的通过编写代码的...
acegi-sample.rar_acegi-1.0.7_acegi-sample.part2_spring-1.2.4.jar
09-23
而"spring-1.2.4.jar"则是Spring框架的一个较旧版本，表明Acegi Security是在Spring 1.x时代设计的，那时候Spring尚未内置完整的安全模块。 首先，让我们了解Acegi Security的主要组件： 1. **Authentication**...
使用Acegi作为基于Spring框架的WEB应用的安全框架
03-05
1. **配置文件**：展示了如何在Spring配置中集成Acegi Security。 2. **控制器**：演示了如何在控制器方法上添加安全注解，限制访问权限。 3. **视图**：显示不同角色用户能看到的不同页面。 4. **用户和角色**：...
Spring+Acegi+ehcache安全框架常用jar包.rar
07-25
在"Spring+Acegi+ehcache安全框架所用jar包"这个压缩包中，你可能会找到以下关键的库文件： 1. spring-context.jar：Spring的核心库，包含Bean管理和AOP支持。 2. spring-aop.jar：Spring的面向切面编程模块，用于...
acegi security实践教程—简单定制logoutFilter
03-12 3256
回顾：     logoutFilter过滤器，我已经带大家了解过了。其中注销是由handler.logout完成的。这就需要在配置文件中配置具体的handler，比如securitycontextlogouthandler，或者tokenbasedremembermeservices,大家可以看到logouthandler具体的实现类如下：        若我程序中就想只用Securit
acegi，里面到底是怎么走的？
刘寒的技术blog
08-16 5807
很早就听说过acegi了，但是当初只是下载了，并且网上找了点资料稍微看了一下。因为没有用到，所以也没有实践。最近忽然要用到了，才发现acegi的配置可不像想像中的那么简单。在网上找10篇相关文章，其配置也会有10样，各个不同，让人无可奈何。至于acegi到底是干嘛的，它的一些最基础的介绍我这就不废话了。最近因为要配置acegi，所以没办法，只好按照一个参考并且分析了一下acegi的部分源代码，
Spring源码(三) Spring IoC之BeanFactory创建bean和获取bean
最新发布
一生编程，快乐编程
07-11 522
bean 对象主要放在 map 里面，map 作为缓存。map 的key 是 bean对象的名称， value 是 bean 对象或者对象工厂。代码详情见： https://blog.csdn.net/sinat_32502451/article/details/140155044。详情见： https://blog.csdn.net/sinat_32502451/article/details/140247662。根据 bean 名称，返回已经注册的单例对象，如果没有注册，则创建并注册一个新对象。
SpringSecurity认证逻辑源码分析
qq_43676797的博客
07-07 999
类。
Spring Security的Filter
weixin_44263023的博客
07-08 681
如果你需要实现一些 Spring Security 没有提供的特定安全功能，你可以通过实现 javax.servlet.Filter 接口来创建自定义的过滤器，并使用 Spring Security 的 FilterRegistrationBean 或通过 Spring Security 的配置类将其添加到过滤器链中。
SpringBoot运维篇
GLATY的博客
07-07 814
通过启动参数加载配置文件（无需书写配置文件扩展名，且properties与yml文件格式均支持通过启动参数加载指定文件路径下的配置文件时可以加载多个配置，中间用逗号分开重要说明：单服务器项目：使用自定义配置文件需求较低多服务器项目：使用自定义配置文件需求较高，将所有配置放置在一个目录中，统一管理基于SpringCloud技术，所有的服务器将不再设置配置文件，而是通过配置中心进行设定，动态加载配置信息。
springboot项目多模块工程==1搭建
溪
07-06 384
idea springboot 项目多模块工程搭建配置

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值