Spring Security 配置

1.1 Spring Security简介

     Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。

2.2登陆功能的实现

2.2登陆功能的实现
2.2.1配置文件
（1）修改pom.xml ，添加依赖
  	<!-- 身份验证 -->
	<dependency>
		<groupId>org.springframework.security</groupId>
		<artifactId>spring-security-web</artifactId>		
	</dependency>
	<dependency>
		<groupId>org.springframework.security</groupId>
		<artifactId>spring-security-config</artifactId>		
	</dependency>

（2）修改web.xml 

     <context-param>
		<param-name>contextConfigLocation</param-name>
		<param-value>classpath:spring/spring-security.xml</param-value>
	 </context-param>
	 <listener>
		<listener-class>
			org.springframework.web.context.ContextLoaderListener
		</listener-class>
	 </listener>	

	 <filter>  
		<filter-name>springSecurityFilterChain</filter-name>  		
        <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>  
	 </filter>  
	 <filter-mapping>  
		<filter-name>springSecurityFilterChain</filter-name>  
		<url-pattern>/*</url-pattern>  
	 </filter-mapping>	

（3）pinyougou-manager-web的spring目录下添加配置文件spring-security.xml (配上我的xml)


<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
	xmlns:beans="http://www.springframework.org/schema/beans" 
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://www.springframework.org/schema/beans 
	http://www.springframework.org/schema/beans/spring-beans.xsd
	http://www.springframework.org/schema/security 
	http://www.springframework.org/schema/security/spring-security.xsd">
	
	<!--不登录 放行  -->
	<http pattern="/*.html" security="none"></http>
	<http pattern="/css/**" security="none"></http>
	<http pattern="/img/**" security="none"></http>
	<http pattern="/js/**" security="none"></http>
	<http pattern="/plugins/**" security="none"></http>
	
	
	<!--页面的拦截规则  /* 不包括子目录下的资源	/** 包括子目录资源	access角色	http默认是true access就要配置hasRole("")	-->
	<http use-expressions="false">
		<!--当前用户必须有ROLE_User的角色 才可以范问根目录及所属子目录的资源  -->
		<intercept-url pattern="/**" access="ROLE_ADMIN"/>
		
		<!--开启表单登录功能  -->
		<form-login login-page="/login.html" default-target-url="/admin/index.html" authentication-failure-url="/login.html" always-use-default-target="true"/>
		<!--关闭csrf 的功能  -->
		<csrf disabled="true"/>
		<!--为iframe	为内嵌内容 放行  -->
		<headers>
			<frame-options policy="SAMEORIGIN"/>
		</headers>
		
		<!--退出地址  -->
		<logout />
	</http>
	
	<!--认证管理器  -->
	<authentication-manager>
		<!--认证提供者  -->
		<authentication-provider>
			<!--配置当前提供用户  -->
			<user-service>
				<!--user:用户名称	 authorities : 这个用户属于哪个角色 -->
				<user name="admin" password="123456"  authorities="ROLE_ADMIN"/>
				<user name="yangpan" password="123456"  authorities="ROLE_ADMIN"/>
			</user-service>
		</authentication-provider>
	</authentication-manager>
		
</beans:beans>

配置说明：

always-use-default-target：指定了是否在身份验证通过后总是跳转到default-target-url属性指定的URL。

如果你在系统中使用了框架页，需要设置框架页的策略为SAMEORIGIN

<headers>
	<frame-options policy="SAMEORIGIN"/>
</headers>

2.2.2登录页面

<form id="loginform" action="/login" method="post"  class="sui-form">
	<div class="input-prepend"><span class="add-on loginname"></span>
		<input id="prependedInput"  name="username" type="text" placeholder="邮箱/用户名/手机号" class="span2 input-xfat">
	</div>
	<div class="input-prepend"><span class="add-on loginpwd"></span>
		<input id="prependedInput"  name="password" type="password" placeholder="请输入密码" class="span2 input-xfat">
	</div>
	<div class="setting">
		<div id="slider">
			<div id="slider_bg"></div>
				<span id="label">>></span> <span id="labelTip">拖动滑块验证</span>
			</div>
		</div>
		<div class="logined">
		<a class="sui-btn btn-block btn-xlarge btn-danger" onclick="document:loginform.submit()" target="_blank">登&nbsp;&nbsp;录</a>
		</div>
</form>