SpringSecurity 一 SpringSecurity简介

概述：

SpringSecurity简介：

Spring Security是一个框架，提供针对常见攻击的身份验证，授权和保护。通过对命令式和反应式应用程序的一流支持，它是保护基于Spring的应用程序的事实标准。

核心功能：

应用的安全框架，有两个主要的领域：

1. 身份认证（authentication）
2. 授权（authorization）

认证：

Spring Security 支持多种不同的认证方式，这些认证方式有的是 Spring Security 自己提供的认证功能，有的是第三方标准组织制订的，主要有如下一些：
一些比较常见的认证方式：

• HTTP BASIC authentication headers：基于IETF RFC 标准。
• HTTP Digest authentication headers：基于IETF RFC 标准。
• HTTP X.509 client certificate exchange：基于IETF RFC 标准。
• LDAP：跨平台身份验证。
• Form-based authentication：基于表单的身份验证。
• Run-as authentication：用户用户临时以某一个身份登录。
• OpenID authentication：去中心化认证。
  除了这些常见的认证方式之外，一些比较冷门的认证方式，Spring Security 也提供了支持。
• Jasig Central Authentication Service：单点登录。
• Automatic “remember-me” authentication：记住我登录（允许一些非敏感操作）。
• Anonymous authentication：匿名登录。
• ……
  作为一个开放的平台，Spring Security 提供的认证机制不仅仅是上面这些。如果上面这些认证机制依然无法满足你的需求，我们也可以自己定制认证逻辑。当我们需要和一些“老破旧”的系统进行集成时，自定义认证逻辑就显得非常重要了。

授权：

除了认证，剩下的就是授权了：

1. Spring Security 支持基于 URL 的请求授权
2. 支持方法访问授权，授权某个方法是否可以被调用
3. 对象访问授权，授权访问当个领域对象实例

核心模块

Core - spring-security-core.jar
包含核心身份验证和access-contol类和接口，远程支持和基本配置API。任何使用Spring Security的应用程序都需要。支持独立应用程序，远程客户端，方法（服务层）安全性和JDBC用户配置。包含顶级包：

• org.springframework.security.core：核心
• org.springframework.security.access：访问，即 authorization 的作用
• org.springframework.security.authentication：认证
• org.springframework.security.provisioning：配置

Web - spring-security-web.jar
包含 filter 和相关 Web安全的基础代码。如果我们需要使用 Spring Security 进行 Web 安全认证和基于URL的访问控制。主包为：
org.springframework.security.web

Config - spring-security-config.jar
包含安全命名空间解析代码和 Java 配置代码。 如果您使用 Spring Security XML 命名空间进行配置或 Spring Security 的 Java 配置支持，则需要它。 主包为： org.springframework.security.config。我们不应该在代码中直接使用这个jar中的类。