spring security learning(spring in action)

1.使用Spring Security配置命名空间

   spring securtiy 提供了安全性相关的命名空间，我们可以将spring security的命名空间声明添加到spring公用的配置xml文件中，这样在配置安全性的时候我们需要使用security作为前缀来表明配置是关于安全性的配置；同时我们也可以将安全性相关的配置提取出来拆分到一个单独的spring-secutiry.xml文件中，同时将该配置文件的首要命名空间改为安全性命名空间，这样在配置安全性的时候就无需security前缀了。spring-security.xml命名空间如下：

<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
  xmlns:beans="http://www.springframework.org/schema/beans"
  xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
  xsi:schemaLocation="http://www.springframework.org/schema/beans
           http://www.springframework.org/schema/beans/spring-beans.xsd
           http://www.springframework.org/schema/security
           http://www.springframework.org/schema/security/spring-security.xsd">
</beans:beans>

2.配置对于web请求的保护

　　Spring Security 借助一系列的Servlet过滤器来提供各种安全功能，需要在web.xml里加入一个过滤器：

<filter>
      <filter-name>springSecurityFilterChain</filter-name>
      <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
    </filter>
    
    <filter-mapping>
      <filter-name>springSecurityFilterChain</filter-name>
      <url-pattern>/*</url-pattern>
    </filter-mapping>

　　DelegatingFilterProxy将工作委托给一个javax.servlet.filter实现类，这个实现类作为一个bean注册在Spring应用的上下文中。在这里我配置的过滤器将过滤所有的web请求。

　　接下来就可以配置安全性了，在这里使用<http>元素进行配置，<http>会自动创建一个FilterChainProxy以及链中的所有过滤器Bean，FilterChainProxy将会委托给在web.xml中的delegatingFilterProxy。同时<http>还有一个auto-config属性，如果设为true,即采用spring security的自动配置，它将会为我们提供一个登陆页、http认证功能以及退出功能。

　<intercept-url pattern="/login.jsp" access="IS_AUTHENTICATED_ANONYMOUSLY"/>

　<intercept-url pattern="/user/register.html" access="IS_AUTHENTICATED_ANONYMOUSLY"/>

　　在这里我首先采用 <http pattern="/resources/**" security="none"></http> 让spring security 对于所有resources下的请求都不进行安全性认证，因为resources下是系统的一些图片、css、js资源。

　　其次对于登陆页面和注册页面的请求，也不进行安全性认证(IS_AUTHENTICATED_ANONYMOUSLY:即匿名身份验证)：

　　　

　　然后对登录页面进行设置：

　　　

　<form-login login-processing-url="/user/login.html" login-page="/login.jsp" default-target-url="/user/index.html"
　　　　　　　　　　authentication-failure-url="/login.jsp" />

　　　　　　login-processing-url:登录请求

　　　　　　login-page:登录页面

　　　　　　default-target-url：登录成功以后默认跳转到的页面

　　　　　　default-target-url：认证失败后跳转到的页面

　　登录页面设置完毕后对退出系统进行设置：

　　　

　<logout logout-success-url="/login.jsp" logout-url="/user/logout.html"/>

　　　　　　logout-success-url：退出成功以后跳转的页面

　　　　　　logout-url：退出的请求

完整的web认证配置：

<http pattern="/resources/**" security="none"></http>

        <http>
            <intercept-url pattern="/login.jsp" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
            <intercept-url pattern="/register.jsp" access="IS_AUTHENTICATED_ANONYMOUSLY"/> 
            <intercept-url pattern="/**" access="ROLE_ADMIN"/>//所有的请求都要有ROLE_ADMIN的权限才能访问
            <form-login login-processing-url="/user/login.html" login-page="/login.jsp" default-target-url="/user/index.html"
                        authentication-failure-url="/login.jsp" />
                        
            <logout logout-success-url="/login.jsp" logout-url="/user/logout.html"/>
        </http>   

3.对用户进行认证

　　spring security 有多种对于用户的策略，基于内存用户存储库，基于jdbc的用户存储库，基于LDAP的用户存储库等等，在这里我选用的是基于jdbc即基于数据库的认证。

　　首先实现UserDetailsService接口，实现类叫myUserDetailsService，并在spring-security中声明这个bean

　<logout logout-success-url="/login.jsp" logout-url="/user/logout.html"/>

myUserDetailsService:

@Service
public class MyUserDetailsService implements UserDetailsService{
    
    private static Logger log = Logger.getLogger(MyUserDetailsService.class);

    @Autowired
    private UserDao userDao;
    public UserDetails loadUserByUsername(String username)
            throws UsernameNotFoundException {
        User user = new User();
        try{
            user =  userDao.getByColumn("username",username);
        }catch(Exception e){
            e.printStackTrace();
            log.error("spring security load user fail", e.getCause());
        }
        return user;
    }
    
}

通过这个service从数据库获取User对象，但是要注意UserDetailsService接口中的loadUserByUsername()方法返回的是UserDetails对象，所以你的User对象必须继承自UserDetails接口，并且实现接口中的方法。

User:

public class User implements UserDetails{    
　　 private Integer user_id;
    private String username;
    private String password;
    private List<Role> roles;
    
    public Integer getUser_id() {
        return user_id;
    }
    public void setUser_id(Integer user_id) {
        this.user_id = user_id;
    }
    public String getUsername() {
        return username;
    }
    public void setUsername(String username) {
        this.username = username;
    }
    public String getPassword() {
        return password;
    }
    public void setPassword(String password) {
        this.password = password;
    }
    
    
    public List<Role> getRoles() {
        return roles;
    }
    public void setRoles(List<Role> roles) {
        this.roles = roles;
    }
    public Collection<? extends GrantedAuthority> getAuthorities() {//获取认证的权限
        List<GrantedAuthority> list = new ArrayList<GrantedAuthority>();
        for(Role role : roles){
            GrantedAuthority grantedAuthority = new SimpleGrantedAuthority(role.getAuthority());
            list.add(grantedAuthority);
        }
        return list;
    }
    
    //用户是否未过期
    public boolean isAccountNonExpired() {
        return true;
    }
    //用户是否被锁定
    public boolean isAccountNonLocked() {
        return true;
    }
    //凭据是否过期
    public boolean isCredentialsNonExpired() {
        return true;
    }
    //用户是否可用
    public boolean isEnabled() {
        return true;
    }
    
}

 

权限类：

　　

public class Role {
    private String username;
    private String authority;
    public String getUsername() {
        return username;
    }
    public void setUsername(String username) {
        this.username = username;
    }
    public String getAuthority() {
        return authority;
    }
    public void setAuthority(String authority) {
        this.authority = authority;
    }
}
 

声明了myUserDetailsService以后，就可以使用myUserDetailsService作为认证的提供者了：

 <authentication-manager>
            <authentication-provider user-service-ref="myUserDetailsService">
                <password-encoder ref="passwordEncoder">
                    <salt-source user-property="username"/>
                </password-encoder>
            </authentication-provider>
        </authentication-manager>

在这里我们必须将密码使用的加密方式进行声明，否则service不会对用户输入的密码进行加密，那么数据库和用户输入的密码就不可能对上。这儿我使用的加密的方式是md5加密，使用的盐值是用户的用户名。

加密bean的声明：

<beans:bean id="passwordEncoder"
          class="org.springframework.security.authentication.encoding.Md5PasswordEncoder" />

基本的配置已经完成了，最后需要注意的一点就是在写用户登录表单的时候，用户名和密码的name注意是：j_username和j_password，否则将会取不到用户输入的用户名和密码的值。

到这里一个简单的spring security的配置就基本完成了。当然spring security的安全性功能远远还不止这些，等待继续深一步的学习。