spring security 粗识

最近才开始接触spring security来开发项目，把里面觉得不太懂的或者有意思的现在大概总结一下，方便以后自己再看，再学习...

①LDAP(轻目录访问协议)，看了看，不是特别懂，在此就不献丑了，想深入了解还是度娘。

②sitemesh技术的应用，装饰类的配置文件decorators.xml，主要的

<!-- 要进行装饰的页面-->

<decorator name="main" page="main.jsp">
  <pattern>/*</pattern>
 </decorator>

<!-- 不需要被装饰的页面 -->

<excludes>
  <pattern>/login.jsp*</pattern>
 </excludes>

③关于spring security 3.1登陆验证，我从这里面受益匪浅 http://blog.csdn.net/k10509806/article/details/6436987 ，登陆这块流程还算是比较详细的。

④密码的一些规则：

* At least 8 characters.
至少8个字符
* A minimum of one numeric character.
至少包含一个数字字符
* A minimum of one special character (e.g., @, #, $).
至少包含一个特殊字符 (如, @,#,$)
* A leading and ending alpha character.
以字母为开头且以字母结束
* contain at least one uppercase letter
密码至少需要包含一个大写字母。
* Be unique to the previous 13 passwords.
修改的密码不能与前13次密码重复
* Be restricted to one change(s) within a 24 hour period except for one-time-password implementations.
除一次性使用密码外,24小时内限制只能改一次密码
* Not be programmed into "remember password" features, scripts or function keys.
不能把”记住密码“功能编码在程序的功能模块或脚本里
* User account passwords must be changed every 90 days.
用户帐号密码必须每90天修改一次
* Maximum number of 5 consecutive failed login attempts, after which the user's access must be suspended.
在最多连续5次尝试登录失败后用户必须被挂起
* Store and transmit passwords in protected (e.g., encrypted or hashed) form.
存储和发送密码要以加密的方式进行
? The storage, display, and printing of passwords must be masked, suppressed, or otherwise obscured
密码不能以明文存储,显示和打印

⑤加密算法

自带的加密算法：

private MessageDigestPasswordEncoder passwordEncoder;
public void setPasswordEncoder(MessageDigestPasswordEncoder passwordEncoder) {
  this.passwordEncoder = passwordEncoder;
}
passwordRecord.setPassword(passwordEncoder.encodePassword(password,null));

自写加密算法：

public class DefaultDESedeImpl implements StringEncryptor {
  //加密
 public String encrypt(String target) {
  String encodeString = null;
  encodeString = new BASE64Encoder().encode(target.getBytes());
  return encodeString;
 }
  //解密
 public String decrypt(String target) {
  String decodeString = null;
  try {
   decodeString = new String(new BASE64Decoder().decodeBuffer(target));
  } catch (IOException e) {
   e.printStackTrace();
  }
  return decodeString;
 }
}

⑥用户登陆判断的思路（这里面用户被锁，是必须要超级用户来解锁）

0.判断该用户是否已经被挂起，如果被挂起，就不执行。。。
1.根据用户名去数据库user表查，没有 返回空，不执行操作，有的话
==>  判断该用户是否被锁，如果被锁，返回，没有被锁，判断loginservice是否有数据，没有数据，直接创建，有数据的话--
2.去loginRecord（登陆记录）表中查相对应的username，如果为空，则直接插入，username，failure_times=1，date = new Date（）；
3.不为空返回对应的failure_times和date，failure_times如果为0，failure_times=1,date= new Date（）；
4.如果failure_times不为空但是new Date>date+5分钟（5分钟内连续操作）;，failure_times=1,date= new Date（）；
5.如果new Date<date+5分钟;failure_times=failure_times+1;将之前取出的时间放入数据库
6.登陆成功{
  将loginRecord表中该用户名的failure_times清零。
 }

 ==>解锁的时候应该将loginRecord里面的对应的用户failure_times清零.

⑦取WEB-INF下面的properties里面的内容

public class AppConfigUtil {
 public Properties properties;
 public String fileName = "config.properties";

 public AppConfigUtil() {
  try {
   properties = new Properties();
   String path = this.getClass().getResource("/").getPath();
   path = path.substring(1,path.indexOf("classes"));
   properties.load(new FileInputStream(path+"app-config.properties"));
  } catch (Exception e) {
   e.printStackTrace();
  }
 }
 //
 public String getValue(String confName) {
  if (StringUtils.isEmpty(confName)) {
   return "";
  } else {
   return properties.getProperty(confName);
  }
 }
 public void setProperties(Properties properties) {
  this.properties = properties;
 }
 public String getFileName() {
  return fileName;
 }
 public void setFileName(String fileName) {
  this.fileName = fileName;
 }

这个在测试的时候是可以用的，但是服务器启动起来，路径就会出错，所以，在服务器端，如果可以的话，再把request对象传入，这样就能取得服务器端的地址：

public class AppConfigUtil {

 public Properties properties;
 public AppConfigUtil(HttpServletRequest request) {
  try {
   String filePath = request.getRealPath("/WEB-INF/config.properties");
   properties = new Properties();
   InputStream in = new BufferedInputStream(new FileInputStream(filePath));
   properties.load(in);
  } catch (Exception e) {
   e.printStackTrace();
  }
 }

 public String getValue(String confName) {
  if (StringUtils.isEmpty(confName)) {
   return "";
  } else {
   return properties.getProperty(confName);
  }

 }
 public void setProperties(Properties properties) {
  this.properties = properties;
 }
}

⑧自己对登陆这一块的认识：

login.jsp

<form action="<core:url value="/j_spring_security_check"/>" method="post">

<input name="j_username" type="text" style="width:130px;border:1px solid #9D9D9D"/>

<input name="j_password" type="password" style="width:130px;border:1px solid #9D9D9D"/>

固定的j_username和j_password 通过固定的action传入/j_spring_security_check，到下面进行判断

applicationContext-security.xml

<bean id="securityFilter"
  class="com.xxx.util.LocaleSaverAuthenticationProcessingFilter">

  <property name="authenticationManager" ref="authenticationManager" />
  <property name="authenticationSuccessHandler" ref="successHandler" />
  <property name="authenticationFailureHandler" ref="failureHandler" />
  <property name="filterProcessesUrl" value="/j_spring_security_check" />
 </bean>

<bean id="successHandler"
  class="org.springframework.security.web.authentication.SavedRequestAwareAuthenticationSuccessHandler">
  <property name="defaultTargetUrl" value="/home.htm" />
 </bean>

 <bean id="failureHandler"
  class="org.springframework.security.web.authentication.SimpleUrlAuthenticationFailureHandler">
  <property name="defaultFailureUrl" value="/login.jsp?authfailed=Y" />
 </bean>

<bean id="loginService" class="com.xxx.service.login.LoginService">
  <property name="loginRecordService" ref="loginRecordService"></property>
  <constructor-arg index="0" ref="userService" />（有构造方法这样写）
   </bean>

 <security:authentication-manager alias="authenticationManager">
  <security:authentication-provider
   user-service-ref="loginService">
   <security:password-encoder ref="passwordEncoder" />
  </security:authentication-provider>
 </security:authentication-manager>

进入这里面后，会执行LocaleSaverAuthenticationProcessingFilter的attemptAuthentication方法

Authentication auth = super.attemptAuthentication(request, response);//执行这句的时候会去调用loginService的loadUserByUsername方法（记得里面调用的其他service的set，get方法，下面的是不完全代码，只是一个思路）

public class LoginService implements UserDetailsService,Serializable {

public UserDetails loadUserByUsername(String userName) throws UsernameNotFoundException, DataAccessException{

user = userService.getUserByName(userName);

if (user == null)
   throw new UsernameNotFoundException(userName + " cannot be found!");

}

return new LoginUser(user,  sourceSystemID);

}

public class LoginUser implements UserDetails {

private User user;

private Collection<GrantedAuthority> authorities = new ArrayList<GrantedAuthority>();

}

根据返回的结果，来进行下一步操作，如果成功，if (auth.isAuthenticated()) {...}return auth;

否则的话，会返回相对应的错误信息，如刚才写的抛出新的异常，就是页面显示的信息，具体的方案还是参考上面。

先写到这里保存一下，后续再继续更新修改一下。。。