Spring Security总结

为什么80%的码农都做不了架构师？>>>   

简介

       Spring Security是一个强大的和高度可定制的身份验证和访问控制框架，它的前身是 Acegi Security。Spring Security着重于为Java应用程序提供身份验证和授权。提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。

• 官网：https://spring.io/projects/spring-security
• github：https://github.com/spring-projects/spring-security

核心概念

Spring Security是如何完成身份认证的？

• 用户名和密码被过滤器获取到，封装成Authentication,通常情况下是UsernamePasswordAuthenticationToken这个实现类。
• AuthenticationManager 身份管理器负责验证这个Authentication
• 认证成功后，AuthenticationManager身份管理器返回一个被填充满了信息的（包括上面提到的权限信息，身份信息，细节信息，但密码通常会被移除）Authentication实例。
• SecurityContextHolder安全上下文容器将第3步填充了信息的Authentication，通过SecurityContextHolder.getContext().setAuthentication(…)方法，设置到其中。

SecurityContextHolder

      SecurityContextHolder用于存储安全上下文（security context）的信息。当前操作的用户是谁，该用户是否已经被认证，他拥有哪些角色权限，这些都被保存在SecurityContextHolder中。SecurityContextHolder默认使用ThreadLocal 策略来存储认证信息。看到ThreadLocal 也就意味着，这是一种与线程绑定的策略。Spring Security在用户登录时自动绑定认证信息到当前线程，在用户退出时，自动清除当前线程的认证信息。但这一切的前提，是你在web场景下使用Spring Security。

Authentication

       Authentication在spring security中是最高级别的身份/认证的抽象。由这个顶级接口，我们可以得到用户拥有的权限信息列表，密码，用户细节信息，用户身份信息，认证信息。

AuthenticationManager

    AuthenticationManager（接口）是认证相关的核心接口，也是发起认证的出发点

AuthenticationProvider

    认证具体实现

AccessDecisionManager

    用于访问控制的，它决定用户是否可以访问某个资源，实现这个接口可以定制我们自己的授权逻辑。

AccessDecisionVoter

    投票器，在授权的时通过投票的方式来决定用户是否可以访问，这里涉及到投票规则。

UserDetailsService

    负责从特定的地方（通常是数据库）加载用户信息

UserDetails

    代表用户信息，即主体，相当于Shiro中的Subject。User是它的一个实现。

使用

 

特点

• 全面的和可扩展的支持身份验证和授权
• 防止会话固定攻击,比如点击劫持,跨站请求伪造等
• Servlet API 集成
• 与Spring Web MVC集成
• Spring Security依赖Spring，其功能强大，相对于Shiro而言学习难度稍大一些

源码解读

未完待续...

转载于:https://my.oschina.net/jzgycq/blog/2218593