Spring安全權限管理(Spring Security) . – JAVA編程語言程序開發技術文章

1.Spring Security簡要介紹

Spring Security以前叫做acegi,是後來才成為Spring的一個子項目,也是目前最為流行的一個安全權限管理框架,它與Spring緊密結合在一起。

Spring Security關註的重點是在企業應用安全層為您提供服務,你將發現業務問題領域存在著各式各樣的需求。銀行系統跟電子商務應用就有很大的不同。電子商務系統與企業銷售自動化工具又有很大不同。這些客戶化需求讓應用安全顯得有趣,富有挑戰性而且物有所值。Spring Security為基於J2EE的企業應用軟件提供瞭一套全面的安全解決方案。

 

2.為Spring Security配置過濾器和其他參數

要使用Spring Security,首先就是在web.xml中為它配置過濾器, 其次因為我的spring配置文件是放在WEB-INF下的,因此還要配置上下文的參數,最後添加spring的監聽器:

[xhtml]
 <?xml version="1.0" encoding="UTF-8"?> 
<web-app version="2.5" xmlns="http://java.sun.com/xml/ns/javaee" 
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
    xsi:schemaLocation="http://java.sun.com/xml/ns/javaee   http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd"> 
    <!– 配置上下文參數,指定spring配置文件的位置 –> 
    <context-param> 
        <param-name>contextConfigLocation</param-name> 
        <param-value>/WEB-INF/spring-*.xml</param-value> 
    </context-param> 
    <!– spring security必須的過濾器,保證在訪問所有的頁面時都必須通過認證 –> 
    <filter> 
        <filter-name>springSecurityFilterChain</filter-name> 
        <filter-class> 
            org.springframework.web.filter.DelegatingFilterProxy 
        </filter-class> 
    </filter> 
    <filter-mapping> 
        <filter-name>springSecurityFilterChain</filter-name> 
        <url-pattern>/*</url-pattern> 
    </filter-mapping> 
    <listener> 
        <listener-class> 
            org.springframework.web.context.ContextLoaderListener 
        </listener-class> 
    </listener> 
    <welcome-file-list> 
        <welcome-file>index.jsp</welcome-file> 
    </welcome-file-list> 
    <login-config> 
        <auth-method>BASIC</auth-method> 
    </login-config> 
</web-app> 

 

3.配置security(spring-security.xml)

[xhtml]
<?xml version="1.0" encoding="UTF-8"?> 
<!– 這裡必須使用security的命名空間,提供瞭beans這個假名 –> 
<beans:beans xmlns="http://www.springframework.org/schema/security" 
    xmlns:beans="http://www.springframework.org/schema/beans" 
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
    xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-2.0.xsd 
                        http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-2.0.4.xsd"> 
 
    <!– Spring Security采用就近原則,有多個約束時,從上至下隻要找到第一條滿足就返回,因此因該將最嚴格的約束放在最前面,而將最寬松的約束放在最後面.auto-config屬性可以讓spring security為我們自動配置幾種常用的權限控制機制,包括form,anonymous, rememberMe等。當然你也可以手工配置。–> 
    <http auto-config="true"> 
        <!– 我們利用intercept-url來判斷用戶需要具有何種權限才能訪問對應的url資源,可以在pattern中指定一個特定的url資源,也可以使用通配符指定一組類似的url資源。例子中定義的兩個intercepter-url,第一個用來控制對/security/**的訪問,第二個使用瞭通配符/**,說明它將控制對系統中所有url資源的訪問。 –> 
        <intercept-url pattern="/security/**" access="ROLE_ADMIN" /> 
        <intercept-url pattern="/**" access="ROLE_ADMIN,ROLE_USER" /> 
        <intercept-url pattern="/login.jsp*" filters="none" /> 
        <logout logout-url="/logout.jsp" 
            logout-success-url="/j_spring_security_check" /> 
    </http> 
 
    <!– 使用內存權限管理的配置信息, 在tomcat啟動時,會加載這個文件並一直保存在內存中,知道應用程序重啟,所以也叫內存權限管理 
        <authentication-provider> 
        <user-service> 
        <user name="admin" password="tomcat" authorities="ROLE_ADMIN"/> 
        <user name="liky" password="redhat" authorities="ROLE_USER"/>      
        </user-service> 
        </authentication-provider> 
    –> 
    <!– 使用數據庫作為權限管理的來源,data-source-ref指定瞭數據源,所指定的數據源必須包含users, authorities表,並符合security的定義規范 –> 
    <authentication-provider> 
        <jdbc-user-service data-source-ref="dataSource" /> 
    </authentication-provider> 
 
</beans:beans> 

 

4.數據源的配置(spring-common.xml)

[c-sharp]
<?xml version="1.0" encoding="UTF-8"?> 
<beans xmlns="http://www.springframework.org/schema/beans" 
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
    xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-2.5.xsd"> 
 
    <!– 定義數據源 –> 
    <bean id="dataSource" 
        class="org.apache.commons.dbcp.BasicDataSource"> 
        <property name="driverClassName" 
            value="com.mysql.jdbc.Driver"> 
        </property> 
        <property name="url" value="jdbc:mysql://localhost:3306/csu"></property> 
        <property name="username" value="root"></property> 
        <property name="password" value="redhat"></property> 
        <property name="maxActive" value="100"></property> 
        <property name="maxIdle" value="30"></property> 
        <property name="maxWait" value="300"></property> 
        <property name="defaultAutoCommit" value="true"></property> 
    </bean>    
</beans> 

 

 

5.項目的目錄結構

 

 

6. 數據庫腳本

[xhtml]
/– 註意這裡的腳本是MYSQL的,因此在你演示這個實例的時候,要加入MySQL的驅動包 –/ 
  
create table users 

username varchar(50) primary key, 
password varchar(50), 
enabled tinyint(1) 
); 
 
create table authorities 

id int auto_increment primary key, 
username varchar(50), 
authority varchar(50), 
constraint fk_authorities_users foreign key(username) references users(username) 
); 
 
create unique index ix_auth_username on authorities (username,authority); 

 

7.部署和配置的要點說明

這是一個Spring Security的數據庫認證實例,要註意以下幾點:
(1)請自行加入Spring必須的包,Spring security的包和MySQL的驅動包,當然你也可以換成其他的數據庫,但是你要相應的修改spring-common.xml中的dataSource部分
(2)數據庫中的兩個表users,authorites必須完全按照腳本所示來定義,也就是說表的名字不能修改.
(3)users表必須包含username,password,enabled字段,這三個字段是絕對不能少的,也不能修改類型.另外enabled一定要為1才能登錄
(4)authorities表必須包含username字段,這個字段引用users的username作為外鍵,authority字段就是角色的名字,角色名字必須滿足ROLE_XXX的格式(例如:ROLE_ADMIN,ROLE_USER,ROLE_MAMAGER)
(5)如果一個用戶有多個角色,不要將多個角色放在一起用逗號隔開.而是每個角色定義一條記錄(例如:abu有ROLE_ADMIN,ROLE_USER兩個角色,那麼應該定義兩條記錄: 一條為abu, ROLE_USER,另一條為abu, ROLE_ADMIN.而不是隻有一條:abu, ROLE_ADMIN,ROLE_USER)
(6)你可以給authorities表添加一個id字段作為主鍵.

 

發佈留言

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *