Spring Security安全权限管理

朱雀 2020-09-12 00:57 823阅读 0赞

1.Spring Security简要介绍

Spring Security以前叫做acegi，是后来才成为Spring的一个子项目，也是目前最为流行的一个安全权限管理框架，它与Spring紧密结合在一起。

Spring Security关注的重点是在企业应用安全层为您提供服务，你将发现业务问题领域存在着各式各样的需求。银行系统跟电子商务应用就有很大的不同。电子商务系统与企业销售自动化工具又有很大不同。这些客户化需求让应用安全显得有趣，富有挑战性而且物有所值。Spring Security为基于J2EE的企业应用软件提供了一套全面的安全解决方案。

2.为Spring Security配置过滤器和其他参数

要使用Spring Security，首先就是在web.xml中为它配置过滤器， 其次因为我的spring配置文件是放在WEB-INF下的，因此还要配置上下文的参数，最后添加spring的监听器：

\[xhtml\]  view plain  copy

1.  **<?****xml** version="1.0" encoding="UTF-8"**?>**  
2.  **<****web-app** version="2.5" xmlns="http://java.sun.com/xml/ns/javaee"  
3.      xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"  
4.      xsi:schemaLocation="http://java.sun.com/xml/ns/javaee   http://java.sun.com/xml/ns/javaee/web-app\_2\_5.xsd"**>**  
5.        
6.      **<****context-param****>**  
7.          **<****param-name****>**contextConfigLocation**</****param-name****>**  
8.          **<****param-value****>**/WEB-INF/spring-\*.xml**</****param-value****>**  
9.      **</****context-param****>**  
10.       
11.     **<****filter****>**  
12.         **<****filter-name****>**springSecurityFilterChain**</****filter-name****>**  
13.         **<****filter-class****>**  
14.             org.springframework.web.filter.DelegatingFilterProxy  
15.         **</****filter-class****>**  
16.     **</****filter****>**  
17.     **<****filter-mapping****>**  
18.         **<****filter-name****>**springSecurityFilterChain**</****filter-name****>**  
19.         **<****url-pattern****>**/\***</****url-pattern****>**  
20.     **</****filter-mapping****>**  
21.     **<****listener****>**  
22.         **<****listener-class****>**  
23.             org.springframework.web.context.ContextLoaderListener  
24.         **</****listener-class****>**  
25.     **</****listener****>**  
26.     **<****welcome-file-list****>**  
27.         **<****welcome-file****>**index.jsp**</****welcome-file****>**  
28.     **</****welcome-file-list****>**  
29.     **<****login-config****>**  
30.         **<****auth-method****>**BASIC**</****auth-method****>**  
31.     **</****login-config****>**  
32. **</****web-app****>**

3.配置security(spring-security.xml)

\[xhtml\]  view plain  copy

1.  **<?****xml** version="1.0" encoding="UTF-8"**?>**  
2.    
3.  **<****beans:beans** xmlns="http://www.springframework.org/schema/security"  
4.      xmlns:beans="http://www.springframework.org/schema/beans"  
5.      xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"  
6.      xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-2.0.xsd  
7.                          http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-2.0.4.xsd"**>**  
8.    
9.        
10.     **<****http** auto-config="true"**>**  
11.           
12.         **<****intercept-url** pattern="/security/\*\*" access="ROLE\_ADMIN" **/>**  
13.         **<****intercept-url** pattern="/\*\*" access="ROLE\_ADMIN,ROLE\_USER" **/>**  
14.         **<****intercept-url** pattern="/login.jsp\*" filters="none" **/>**  
15.         **<****logout** logout-url="/logout.jsp"  
16.             logout-success-url="/j\_spring\_security\_check" **/>**  
17.     **</****http****>**  
18.   
19.       
28.     **<****authentication-provider****>**  
29.         **<****jdbc-user-service** data-source-ref="dataSource" **/>**  
30.     **</****authentication-provider****>**  
31.   
32. **</****beans:beans****>**

4.数据源的配置(spring-common.xml)

\[c-sharp\]  view plain  copy

1.  <?xml version="1.0" encoding="UTF-8"?>  
2.  <beans xmlns="http://www.springframework.org/schema/beans"  
3.      xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"  
4.      xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-2.5.xsd">  
5.    
6.        
7.      <bean id="dataSource"  
8.          **class**="org.apache.commons.dbcp.BasicDataSource">  
9.          <property name="driverClassName"  
10.             value="com.mysql.jdbc.Driver">  
11.         </property>  
12.         <property name="url" value="jdbc:mysql://localhost:3306/csu"></property>  
13.         <property name="username" value="root"></property>  
14.         <property name="password" value="root"></property>  
15.         <property name="maxActive" value="100"></property>  
16.         <property name="maxIdle" value="30"></property>  
17.         <property name="maxWait" value="300"></property>  
18.         <property name="defaultAutoCommit" value="true"></property>  
19.     </bean>     
20. </beans>

5.项目的目录结构

![directory.jpg][]

6. 数据库脚本

\[xhtml\]  view plain  copy

1.  /-- 注意这里的脚本是MYSQL的,因此在你演示这个实例的时候,要加入MySQL的驱动包 --/  
2.     
3.  create table users  
4.  (  
5.  username varchar(50) primary key,  
6.  password varchar(50),  
7.  enabled tinyint(1)  
8.  );  
9.    
10. create table authorities  
11. (  
12. id int auto\_increment primary key,  
13. username varchar(50),  
14. authority varchar(50),  
15. constraint fk\_authorities\_users foreign key(username) references users(username)  
16. );  
17.   
18. create unique index ix\_auth\_username on authorities (username,authority);

7.部署和配置的要点说明

这是一个Spring Security的数据库认证实例,要注意以下几点:  
（1）请自行加入Spring必须的包,Spring security的包和MySQL的驱动包,当然你也可以换成其他的数据库,但是你要相应的修改spring-common.xml中的dataSource部分  
（2）数据库中的两个表users,authorites必须完全按照脚本所示来定义,也就是说表的名字不能修改.  
（3）users表必须包含username,password,enabled字段,这三个字段是绝对不能少的,也不能修改类型.另外enabled一定要为1才能登录  
（4）authorities表必须包含username字段,这个字段引用users的username作为外键,authority字段就是角色的名字,角色名字必须满足ROLE\_XXX的格式(例如:ROLE\_ADMIN,ROLE\_USER,ROLE\_MAMAGER)  
（5）如果一个用户有多个角色,不要将多个角色放在一起用逗号隔开.而是每个角色定义一条记录(例如:abu有ROLE\_ADMIN,ROLE\_USER两个角色,那么应该定义两条记录: 一条为abu, ROLE\_USER,另一条为abu, ROLE\_ADMIN.而不是只有一条:abu, ROLE\_ADMIN,ROLE\_USER)  
（6）你可以给authorities表添加一个id字段作为主键.

[view plain]: http://blog.csdn.net/csuliky/article/details/4277413#
[directory.jpg]: https://p-blog.csdn.net/images/p_blog_csdn_net/csuliky/EntryImages/20090618/directory.jpg