Spring Security基础知识

r囧r小猫 2022-06-08 03:52 149阅读 0赞

# spring security简介 #

Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。

Spring Security对Web安全性的支持大量地依赖于Servlet过滤器。这些过滤器拦截进入请求，并且在应用程序处理该请求之前进行某些安全处理。 Spring Security提供有若干个过滤器，它们能够拦截Servlet请求，并将这些请求转给认证和访问决策管理器处理，从而增强安全性。

# spring security常用的类 #

##     FilterToBeanProxy:    ##

一个特殊的Servlet过滤器，它本身做的工作并不多，而是将自己的工作委托给Spring应用程序上下文 中的一个Bean来完成。被委托的Bean几乎和其他的Servlet过滤器一样，实现javax.servlet.Filter接 口，但它是在Spring配置文件而不是web.xml文件中配置的。

实际上，FilterToBeanProxy代理给的那个Bean可以是javax.servlet.Filter的任意实现。这可以是 Spring Security的任何一个过滤器，或者它可以是自己创建的一个过滤器。但是正如本书已经提到的那样，Spring Security要求至少配置四个而且可能一打或者更多的过滤器。

## UserDetailsService: ##

主要用于获取登录用户对象，封装了登陆用户的相关信息和拥有的权限

# spring security过滤原理: #

<table style="margin:0px; padding:0px; border:1px solid silver; border-collapse:collapse; word-break:break-word; color:rgb(51,51,51); font-family:verdana,Arial,Helvetica,sans-serif; font-size:14px"> 
 <tbody style="margin:0px; padding:0px"> 
 <tr style="margin:0px; padding:0px"> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> 过滤器名称 </td> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> 描述 </td> 
 </tr> 
 <tr style="margin:0px; padding:0px"> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> o.s.s.web.context.SecurityContextPersistenceFilter </td> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> 负责从SecurityContextRepository获取或存储SecurityContext。SecurityContext代表了用户安全和认证过的session。 </td> 
 </tr> 
 <tr style="margin:0px; padding:0px"> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> o.s.s.web.authentication.logout.LogoutFilter </td> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> 监控一个实际为退出功能的URL（默认为/j_spring_security_logout），并且在匹配的时候完成用户的退出功能。 </td> 
 </tr> 
 <tr style="margin:0px; padding:0px"> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> o.s.s.web.authentication.UsernamePasswordAuthenticationFilter </td> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> 监控一个使用用户名和密码基于form认证的URL（默认为/j_spring_security_check），并在URL匹配的情况下尝试认证该用户。 </td> 
 </tr> 
 <tr style="margin:0px; padding:0px"> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> o.s.s.web.authentication.ui.DefaultLoginPageGeneratingFilter </td> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> 监控一个要进行基于forn或OpenID认证的URL（默认为/spring_security_login），并生成展现登录form的HTML </td> 
 </tr> 
 <tr style="margin:0px; padding:0px"> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> o.s.s.web.authentication.www.BasicAuthenticationFilter </td> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> 监控HTTP&nbsp;基础认证的头信息并进行处理 </td> 
 </tr> 
 <tr style="margin:0px; padding:0px"> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> o.s.s.web.savedrequest. RequestCacheAwareFilter </td> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> 用于用户登录成功后，重新恢复因为登录被打断的请求。 </td> 
 </tr> 
 <tr style="margin:0px; padding:0px"> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> o.s.s.web.servletapi. SecurityContextHolderAwareRequest Filter </td> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> 用一个扩展了HttpServletRequestWrapper的子类（o.s.s.web. servletapi.SecurityContextHolderAwareRequestWrapper）包装HttpServletRequest。 它为请求处理器提供了额外的上下文信息。 </td> 
 </tr> 
 <tr style="margin:0px; padding:0px"> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> o.s.s.web.authentication. AnonymousAuthenticationFilter </td> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> 如果用户到这一步还没有经过认证，将会为这个请求关联一个认证的token，标识此用户是匿名的。 </td> 
 </tr> 
 <tr style="margin:0px; padding:0px"> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> o.s.s.web.session. SessionManagementFilter </td> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> 根据认证的安全实体信息跟踪session，保证所有关联一个安全实体的session都能被跟踪到。 </td> 
 </tr> 
 <tr style="margin:0px; padding:0px"> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> o.s.s.web.access. ExceptionTranslationFilter </td> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> 解决在处理一个请求时产生的指定异常 </td> 
 </tr> 
 <tr style="margin:0px; padding:0px"> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> o.s.s.web.access.intercept. FilterSecurityInterceptor </td> 
 <td style="margin:0px; padding:3px; border:1px solid silver; border-collapse:collapse"> 简化授权和访问控制决定，委托一个AccessDecisionManager完成授权的判断 </td> 
 </tr> 
 </tbody> 
</table>