Spring Security 总结

4．/spring_security_login  ===》 DefaultLoginPageGeneratingFilter自动登陆

 此过滤器用来生成一个默认的登录页面，默认的访问地址为/spring_security_login，这个默认的登录页面虽然支持用户输入用户名，密码，也支持rememberMe功能，但是因为太难看了，只能是在演示时做个样子，不可能直接用在实际项目中。

 自定义登陆页面

                    default-target-url="/" />

5．BasicProcessingFilter

 此过滤器用于进行basic验证，功能与AuthenticationProcessingFilter类似，只是验证的方式不同。

添加basic认证，去掉auto-config="true"，并加上

6．SecurityContextHolderAwareRequestFilter 

此过滤器用来包装客户的请求。目的是在原始请求的基础上，为后续程序提供一些额外的数据。比如getRemoteUser()时直接返回当前登陆的用户名之类的。

7．RememberMeProcessingFilter

 此过滤器实现RememberMe功能，当用户cookie中存在rememberMe的标记，此过滤器会根据标记自动实现用户登陆，并创建SecurityContext，授予对应的权限。

在配置文件中使用auto-config="true"就会自动启用rememberMe实际上，Spring Security中的rememberMe是依赖cookie实现的，当用户在登录时选择使用rememberMe，系统就会在登录成功后将为用户生成一个唯一标识，并将这个标识保存进cookie中，我们可以通过浏览器查看用户电脑中的cookie。

8．AnonymousProcessingFilter

 为了保证操作统一性，当用户没有登陆时，默认为用户分配匿名用户的权限。

在配置文件中使用auto-config="true"就会启用匿名登录功能。在启用匿名登录之后，如果我们希望允许未登录就可以访问一些资源，可以在进行如下配置。

设置成 ROLE_ANONYMOUS 也可以。

filters="none"表示当我们访问“/”时，是不会使用任何一个过滤器去处理这个请求的，它可以实现无需登录即可访问资源的效果，但是因为没有使用过滤器对请求进行处理，所以也无法利用安全过滤器为我们带来的好处，最简单的，这时SecurityContext内再没有保存任何一个权限主体了，我们也无法从中取得主体名称以及对应的权限信息。

9．ExceptionTranslationFilter

 此过滤器的作用是处理中FilterSecurityInterceptor抛出的异常，然后将请求重定向到对应页面，或返回对应的响应错误代码。

10．SessionFixationProtectionFilter

 防御会话伪造攻击。

解决session fix的问题其实很简单，只要在用户登录成功之后，销毁用户的当前session，并重新生成一个session就可以了。

session-fixation-protection的值共有三个可供选择，none，migrateSession和newSession。默认使用的是migrationSession

11．FilterSecurityInterceptor

用户的权限控制都包含在这个过滤器中。

功能一：如果用户尚未登陆，则抛出AuthenticationCredentialsNotFoundException“尚未认证异常”。

功能二：如果用户已登录，但是没有访问当前资源的权限，则抛出AccessDeniedException“拒绝访问异常”。

功能三：如果用户已登录，也具有访问当前资源的权限，则放行。

七、其他

    可以直接通过SecurityContextHolder获得当前线程中的SecurityContext。

SecurityContext securityContext = SecurityContextHolder.getContext();

    默认情况下，SecurityContext的实现基于ThreadLocal，系统会在每次用户请求时将SecurityContext与当前Thread进行绑定，、

7.1 修改系统使用的策略

也可以调用SecurityContextHolder的setStrategyName()方法来修改系统使用的策略。

    SecurityContextHolder.setStrategyName("MODE_GLOBAL");

    如果用户尚未通过认证，那么SecurityContext.getAuthenticaiton()方法就会返回null。可以使用Authentication接口中定义的几个方法，获得当前权限实体的信息

    从接口的方法可以看出，用户可以通过SecurityContext存放和读取票据信息(Authentication)。

    SecurityContext又存放在SecurityContextHolder。

    SecurityContextHolder定义了SecurityContex的相关操作，如初始化，清空，读取等。SecurityContextHolder并没有直接实现这些操作，而是使用了策略模式，由一个SecurityContextHolderStrategy接口，来完成真正的逻辑。

十、自定义用户权限认证

7.1 自己定义用户权限认证步骤：

import org.springframework.jdbc.core.support.JdbcDaoSupport;

import org.springframework.security.userdetails.UserDetails;

import org.springframework.security.userdetails.UserDetailsService;

class MySecurityJdbcDaoImpl extends JdbcDaoSupport implements UserDetailsService {

1.在自己项目中添一个类继承JdbcDaoSupport抽像类，实现UserDetailsService接口。

2.在applicationContext-security.xml文件中配置：

以下的标签书写在标签的下面

  2.1  

   2.2 

            class="org.security.userdetails.jdbc.MySecurityJdbcDaoImpl"

        p:dataSource-ref="dataSource"

        p:debug="true"

        p:usersByUsernameQuery="select userName, passWord, enabled, userId, email from users where userName=?"

        p:authoritiesByUsernameQuery="select u.userName,r.roleName  from users u,roles r,users_roles ur where u.userId=ur.userId and r.roleId=ur.roleId and u.userName=?"/>

类的实例：

public class MySecurityJdbcDaoImpl extends JdbcDaoSupport implements

        UserDetailsService {

    public static final String DEF_USERS_BY_USERNAME_QUERY = "SELECT userName, passWord, enabled, userId, email FROM users WHERE userName=?";

    public static final String DEF_AUTHORITIES_BY_USERNAME_QUERY = "SELECT u.userName, r.roleName FROM users u, roles r, users_roles ur "

            + "WHERE u.userId = ur.userId AND r.roleId = ur.roleId "

            + "AND u.userName=?";

    protected MappingSqlQuery authoritiesByUsernameMapping;

    protected MappingSqlQuery usersByUsernameMapping;

    private String authoritiesByUsernameQuery;

    private String usersByUsernameQuery;

    private String rolePrefix = "";

    private boolean usernameBasedPrimaryKey = true;

    private boolean debug = false;

    public MySecurityJdbcDaoImpl() {

        this.usersByUsernameQuery = DEF_USERS_BY_USERNAME_QUERY;

        this.authoritiesByUsernameQuery = DEF_AUTHORITIES_BY_USERNAME_QUERY;

    }

    protected void initDao() throws ApplicationContextException {

        initMappingSqlQueries();

    }

    protected void initMappingSqlQueries() {

        this.usersByUsernameMapping = new UsersByUsernameMapping(

                getDataSource());

        this.authoritiesByUsernameMapping = new AuthoritiesByUsernameMapping(

                getDataSource());

    }

    @SuppressWarnings("unchecked")

    protected void addCustomAuthorities(String username, List authorities) {

    }

    /** (non-Javadoc)

     * @see     * org.springframework.security.userdetails.jdbc.JdbcDaoImpl#loadUserByUsername

     * (java.lang.String)     */

    @SuppressWarnings("unchecked")

    public UserDetails loadUserByUsername(String username)

            throws UsernameNotFoundException, DataAccessException {

        if (debug) {

            // TODO Auto-generated method stub

            System.out.println("用户<" + username + ">登陆");

        }

        List users = usersByUsernameMapping.execute(username);

        if (users.size() == 0) {

            throw new UsernameNotFoundException("User Not Found...");

        }

        MyUserDetails user = (MyUserDetails) users.get(0);

        if (debug) {

            System.out.println("用户基本信息<" + user.getUserId() + "><"

                    + user.getUsername() + "><" + user.getPassword() + "><"

                    + user.getEmail() + ">");

        }

        // Set dbAuthsSet = new HashSet();

        // dbAuthsSet.addAll(authoritiesByUsernameMapping.execute(user.getUsername()));

        // List dbAuths = new ArrayList(dbAuthsSet);

        List dbAuths = authoritiesByUsernameMapping.execute(user.getUsername());

        if (debug) {

            System.out.println("<" + user.getUsername() + ">有<"

                    + dbAuths.size() + ">个权限");

        }

        if (dbAuths.size() == 0) {

            throw new UsernameNotFoundException("User Has no GrantedAuthority");

        }

        addCustomAuthorities(user.getUsername(), dbAuths);

        GrantedAuthority[] authorities = (GrantedAuthority[]) dbAuths

                .toArray(new GrantedAuthority[dbAuths.size()]);

        user.setAuthorities(authorities);

        if (!usernameBasedPrimaryKey) {

            user.setUsername(username);

        }

        return user;

    }

    protected class AuthoritiesByUsernameMapping extends MappingSqlQuery {

        protected AuthoritiesByUsernameMapping(DataSource ds) {

            super(ds, authoritiesByUsernameQuery);

            declareParameter(new SqlParameter(Types.VARCHAR));

            compile();

        }

        /** (non-Javadoc)

         * @see

org.springframework.jdbc.object.MappingSqlQuery#mapRow(java.sql.ResultSet

         * , int)         */

        protected Object mapRow(ResultSet rs, int rownum) throws SQLException {

            // TODO Auto-generated method stub

            String roleName = rolePrefix + rs.getString(2);

            GrantedAuthorityImpl authority = new GrantedAuthorityImpl(roleName);

            if (debug) {

                System.out.println("权限名：<" + roleName + ">");

            }

            return authority;

        }

    }

    protected class UsersByUsernameMapping extends MappingSqlQuery {

        protected UsersByUsernameMapping(DataSource ds) {

            super(ds, usersByUsernameQuery);

            declareParameter(new SqlParameter(Types.VARCHAR));

            compile();

        }

        /* (non-Javadoc)

         * @see

org.springframework.jdbc.object.MappingSqlQuery#mapRow(java.sql.ResultSet

         * , int)         */

        protected Object mapRow(ResultSet rs, int rownum) throws SQLException {

            // TODO Auto-generated method stub

            String userName = rs.getString(1);

            String passWord = rs.getString(2);

            boolean enabled = rs.getBoolean(3);

            Integer userId = rs.getInt(4);

            String email = rs.getString(5);

            MyUserDetails user = new MyUser(userName,passWord,enabled,true,true,true,

                    new GrantedAuthority[] { new GrantedAuthorityImpl("HOLDER") });

            user.setEmail(email);

            user.setUserId(userId);

            return user;

        }

    }

    /** @return the authoritiesByUsernameQuery     */

    public String getAuthoritiesByUsernameQuery() {

        return authoritiesByUsernameQuery;

    }

    /** @param authoritiesByUsernameQuery

     *            the authoritiesByUsernameQuery to set     */

    public void setAuthoritiesByUsernameQuery(String authoritiesByUsernameQuery) {

        this.authoritiesByUsernameQuery = authoritiesByUsernameQuery;

    }

    /** @return the usersByUsernameQuery     */

    public String getUsersByUsernameQuery() {

        return usersByUsernameQuery;

    }

    /**@param usersByUsernameQuery

     *            the usersByUsernameQuery to set     */

    public void setUsersByUsernameQuery(String usersByUsernameQuery) {

        this.usersByUsernameQuery = usersByUsernameQuery;

    }

    /** @return the rolePrefix     */

    public String getRolePrefix() {

        return rolePrefix;

    }

    /* @param rolePrefix

     *            the rolePrefix to set     */

    public void setRolePrefix(String rolePrefix) {

        this.rolePrefix = rolePrefix;

    }

    /**@return the usernameBasedPrimaryKey     */

    public boolean isUsernameBasedPrimaryKey() {

        return usernameBasedPrimaryKey;

    }

    /**@param usernameBasedPrimaryKey

     *            the usernameBasedPrimaryKey to set     */

    public void setUsernameBasedPrimaryKey(boolean usernameBasedPrimaryKey) {

        this.usernameBasedPrimaryKey = usernameBasedPrimaryKey;

    }

    /**

     * @return the debug     */

    public boolean isDebug() {

        return debug;

    }

    /**

     * @param debug

     *            the debug to set     */

    public void setDebug(boolean debug) {

        this.debug = debug;

    }

总结来源：http://www.family168.com