Acegi 读书笔记

最近闲来没事，看了看spring Acegi ，其中一些心得也顺便写下了。

Acegi是基于spring开发的安全框架，其中技术特点就是spring的依赖注入，AOP拦截，针对接口编程。

设计上是基于角色的权限控制系统，实现安全框架的可配置。

关于Acegi的配置，说白了就三大块。认证管理器，决策管理器，过滤器链。

访问任何受保护的资源，其过程是：认证管理器=》决策管理器=》过滤器链。

1.在web.xml里面配置相应的Listener和Filter。

先加入security.xml

<context-param>
<param-name>contextConfigLocation</param-name>
<param-value>
/WEB-INF/security.xml,
</param-value>
</context-param>

配置filter

/**其中targetClass参数指定，则在web应用程序初始化的时候，acegiFilterChain将从spring容器中查找类型为org.acegisecurity.util.FilterChainProxy的bean，然后将自身的任务委托给bean**/

<filter>
<filter-name>acegiFilterChain</filter-name>
<filter-class>org.acegisecurity.util.FilterToBeanProxy</filter-class>
<init-param>
<param-name>targetClass</param-name>
<param-value>org.acegisecurity.util.FilterChainProxy</param-value>
</init-param>
</filter>

<filter-mapping>
<filter-name>acegiFilterChain</filter-name>
<url-pattern>*.action</url-pattern>
</filter-mapping>

2.配置AuthenticationManager

AuthenticationManager绝顶用户是否有通过身份验证，其验证委托给一个或者多个AuthenticationProvider。

Acegi提供多个AuthenticationProvider来验证：AutheByAdapterProvider（通过web容器来验证用户身份），CasAuthenticationProvider（通过CAS来验证），DaoAuthenTicatinProvider（通过数据库用户名和密码来验证，最常用）JaasAuthenticationProvider（通过jaas来验证），PasswordDaoAuthenticationPrivider（通过数据库），RememberMeAuthenticationProvider（通过cookie来验证），RemoteAuthenticationProvider（通过远程服务器）。

这里配置了两个AuthenticationProvider：

<bean id="authenticationManager" class="org.acegisecurity.providers.ProviderManager">
<property name="providers">
<list>
<ref bean="daoAuthenticationProvider" />
<ref bean="rememberMeAuthenticationProvider" />
</list>
</property>
</bean>

<!-- 基于DAO验证的AuthenticationProvider -->
<bean id="daoAuthenticationProvider"
class="org.acegisecurity.providers.dao.DaoAuthenticationProvider">
<property name="userDetailsService" ref="userDetailsService" />
</bean>

<!-- userDetailsService是Acegi配置唯有需要手动配置的组件-->

<bean id="userDetailsService"
class="com.gzpost,lantou.security.JdbcUserDetailsService">
<property name="dataSource" ref="dataSource" />
</bean>

<!-- 基于RememberMe验证的AuthenticationProvider -->
<bean id="rememberMeAuthenticationProvider"
class="org.acegisecurity.providers.rememberme.RememberMeAuthenticationProvider">
<property name="key" value="RememberMeAtLiveBookstore" />
</bean>

<bean id="rememberMeServices" class="org.acegisecurity.ui.rememberme.TokenBasedRememberMeServices">
<property name="userDetailsService" ref="userDetailsService" />
<property name="parameter" value="j_remember_me" />
<property name="key" value="RememberMeAtLiveBookstore" />
</bean>

3.配置AccessDecisionManager

AccessDecisionManager决定用户是否允许访问末一受保护的资源。

它是基于投票的方式。
<bean id="accessDecisionManager"
class="org.acegisecurity.vote.AffirmativeBased">
<property name="decisionVoters">
<list>
<bean class="org.acegisecurity.vote.RoleVoter" />
</list>
</property>
<property name="allowIfAllAbstainDecisions" value="false" />
</bean>

4.配置FilterChain

FilterChain最终完成认证和授权。

Acegi已经提供了一系列非常游泳的Filter供我们使用，这里不一一列出来了。

注意，logoutFileter和AuthenticationProcessiongfilter用于实现用户的注销和登入功能，他们仅过滤特定的URL

<bean id="filterChainProxy" class="org.acegisecurity.util.FilterChainProxy">
<property name="filterInvocationDefinitionSource">
<value>
CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
PATTERN_TYPE_APACHE_ANT
/**=sessionIntegrationFilter,logoutFilter,authenticationFilter,rememberMeFilter,exceptionFilter,securityInterceptor
</value>
</property>
</bean>

<bean id="sessionIntegrationFilter"
class="org.acegisecurity.context.HttpSessionContextIntegrationFilter" />

<bean id="logoutFilter" class="org.acegisecurity.ui.logout.LogoutFilter">
<!-- URL redirected to after logout -->
<constructor-arg value="/" />
<constructor-arg>
<list>
<bean class="org.acegisecurity.ui.logout.SecurityContextLogoutHandler" />
<ref bean="rememberMeServices" />
</list>
</constructor-arg>
<property name="filterProcessesUrl" value="/logout.action" />
</bean>

<bean id="authenticationFilter"
class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilter">
<property name="authenticationManager" ref="authenticationManager" />
<property name="authenticationFailureUrl" value="/login.jsp?login_error=Login%20failed." />
<property name="defaultTargetUrl" value="/main.jsp" />
<property name="filterProcessesUrl" value="/login.action" />
<property name="rememberMeServices" ref="rememberMeServices" />
</bean>

<bean id="rememberMeFilter" class="org.acegisecurity.ui.rememberme.RememberMeProcessingFilter">
<property name="authenticationManager" ref="authenticationManager" />
<property name="rememberMeServices" ref="rememberMeServices" />
</bean>

<!-- 处理登录异常或权限异常的Filter -->
<bean id="exceptionFilter" class="org.acegisecurity.ui.ExceptionTranslationFilter">
<!-- 出现AuthenticationException时的登录入口 -->
<property name="authenticationEntryPoint">
<bean class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilterEntryPoint">
<property name="loginFormUrl" value="/login.action" />
<property name="forceHttps" value="false" />
</bean>
</property>
<!-- 出现AccessDeniedException时的Handler -->
<property name="accessDeniedHandler">
<bean class="org.acegisecurity.ui.AccessDeniedHandlerImpl" />
</property>
</bean>

<!-- 基于URL的安全拦截器 -->
<bean id="securityInterceptor"
class="org.acegisecurity.intercept.web.FilterSecurityInterceptor">
<property name="authenticationManager" ref="authenticationManager" />
<property name="accessDecisionManager" ref="accessDecisionManager" />
<property name="objectDefinitionSource">
<value>
CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
PATTERN_TYPE_APACHE_ANT
/admin*=ROLE_ADMIN
/user*=ROLE_USER
</value>
</property>
</bean>

此外，针对业务逻辑组件的保护，关键是声明一个MethodSecurityInterceptor，使其有拦截组件的方法调用，然后根据用户角色来绝顶是否允许调用该方法。

<bean id="serviceSecurityInterceptor"
class="org.acegisecurity.intercept.method.aopalliance.MethodSecurityInterceptor">
<property name="validateConfigAttributes" value="true" />
<property name="authenticationManager" ref="authenticationManager" />
<property name="accessDecisionManager" ref="accessDecisionManager" />
<property name="objectDefinitionSource">
<bean class="org.acegisecurity.intercept.method.MethodDefinitionAttributes">
<property name="attributes">
<bean class="org.acegisecurity.annotation.SecurityAnnotationAttributes" />
</property>
</bean>
</property>
</bean>

<!-- 利用Spring的自动代理功能实现AOP代理 -->
<bean id="autoProxyCreator"
class="org.springframework.aop.framework.autoproxy.BeanNameAutoProxyCreator">
<property name="interceptorNames">
<list>
<value>serviceSecurityInterceptor</value>
</list>
</property>
<property name="beanNames">
<list>
<value>businessService</value>
</list>
</property>
</bean>

再在相应的service用注释的方式实现方法级别的保护，如：@Secured（{"ROLE_USER"}）