SpringSecurity笔记2-SpringSecurity命名空间
? <beans:beans xmlns="http://www.springframework.org/schema/security"
???????? xmlns:beans="http://www.springframework.org/schema/beans"
???????? xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
???????? xsi:schemaLocation="http://www.springframework.org/schema/beans
???????? http://www.springframework.org/schema/beans/spring-beans-3.0.xsd
???????? http://www.springframework.org/schema/security
???????? http://www.springframework.org/schema/security/spring-security-3.0.3.xsd">
???????? ...
??? </beans:beans>
??? 采用该命名空间：http://www.springframework.org/schema/security,系统类路径中需引入以下依赖：
??? <dependency>
????? ? ?? <groupId>org.springframework.security</groupId>
?????????? <artifactId>spring-security-core</artifactId>
?????????? <version>${spring.security.version}</version>
??? </dependency>
??? <dependency>
??????????? <groupId>org.springframework.security</groupId>
??????????? <artifactId>spring-security-config</artifactId>
??????????? <version>${spring.security.version}</version>
??? </dependency>
??? <dependency>
??????????? <groupId>org.springframework.security</groupId>
??????????? <artifactId>spring-security-web</artifactId>
??????????? <version>${spring.security.version}</version>
??? </dependency>
??? <dependency>
??????????? <groupId>org.springframework.security</groupId>
??????????? <artifactId>spring-security-taglibs</artifactId>
??????????? <version>${spring.security.version}</version>
??? </dependency>
1. 命名空间的配置
??? (1) web.xml
??? <filter>
??? ?????? <filter-name>springSecurityFilterChain</filter-name>
?????????? <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
??? </filter>
??? <filter-mapping>
?????????? <filter-name>springSecurityFilterChain</filter-name>
????????????????? <url-pattern>/*</url-pattern>
??????????? </filter-mapping>
??? </filter>
??? 通过这种方式提供了一个访问SpringSexurity底层的“钩子”。DelegatingFilterProxy是Spring框架的类，是
??? javax.servlet.Filter的一个实现，将安全处理的流程代理给了一个过滤器，该过滤器是Springs应用上下文中定义
??? 的一个SpringBean： springSecurityFilterChain，该Bean用于处理Web安全。
??? FilterChainProxy, 一个专一的过滤器，用于将多个过滤器组成一个连执行过滤功能；SpringSecurity中需要通过
??? 多个Filter来提供不同的功能，这些多个Filer就是用FilterChainProxy来组装的，只是具体的细节我们不需关注，
??? 只需要通过生命配置：<http>元素。
??? (2) http元素配置
??? <http auto-config='true'>
??????????? <intercept-url pattern="/**" access="ROLE_USER" />
??? </http>
??? 该配置等价与：
??? <http>
??????????? <form-login />
??????????? <http-basic />
??????????? <logout />
??????????? <intercept-url pattern="/**" access="ROLE_USER" />
???? </http>
???? 默认auto-config属性包括：
??? <http>
??????????? <form-login />
??????????? <http-basic />
??????????? <logout />
??? </http>
??? 该配置用于启用Web安全。Http元素将自动装配一个FilterChainProxy，所有的Fileter都在该FilterChainProxy
??? 中；根据该配置，应用程序中的所有URL被保护，需要角色：ROLE_USER去访问。此处可以配置多个intercept
??? -url元素，默认将根据配置的顺序启用过滤策略；同时可添加可给该元素添加method属性以限制特定的HTTP
??? Method(GET,POST,PUT)可以访问。
???
??? <authentication-manager>
?????????? <authentication-provider>
??????????????????? <user-service>
??????????????????????????? <user name="jimi" password="jimispassword" authorities="ROLE_USER,
????????????????????????????????????? ROLE_ADMIN" />
??????????????????????????? <user name="bob" password="bobspassword" authorities="ROLE_USER" />
??????????????????? </user-service>
?????????? </authentication-provider>
??? </authentication-manager>
??? 可以在authentication-manager元素下配置其他的authentication-provider,这些authentication-provider
??? 将会被轮流的处理或参考。
??? (3) 登录表单选项
??? 默认情况下，设置了auto-config='true'后，SpringSecurity将根据系统的配置自动生成一个LoginForm页面，同
??? 时命 名空间也提供了支持用户客制化定义登录页面的属性：
??? <http auto-config='true'>
????????????? <intercept-url pattern="/login.jsp*" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
????????????? <intercept-url pattern="/**" access="ROLE_USER" />
????????????? <form-login login-page='/login.jsp'/>
??? </http>
??? 或配置成：
??? <http auto-config="true" use-expressions="false">
?????????? <form-login login-processing-url="/static/j_spring_security_check" login-page="/login"
????????????????? authentication-failure-url="/login?login_error=t"/>
??? </http>
??? 该配置中form-login覆盖了默认的配置，其中access="IS_AUTHENTICATED_ANONYMOUSLY"可被匿名用户
??? 访问; 根据当前的配置"pattern="/login.jsp*"与pattern="/**"，这两个匹配模式拦截登录请求，将 在应用程
??? 序中引起一个无限的过滤循环，这是错误的配置。
??? <http auto-config='true'>
????????????? <intercept-url pattern="/css/**"? filters="none"/>
????????????? <intercept-url pattern="/login.jsp*"? filters="none"/>
????????????? <intercept-url pattern="/**" access="ROLE_USER" />
????????????? <form-login login-page='/login.jsp'/>
???? </http>
???? 通过制定filter="none"可避免这种现象，指定该属性后，访问的限制将被忽略。
???? 附件中包括SpringSecurity自动生成的Form Login和一个自定义的FormLogin: LoginForm.rar.
??? ?(4) 使用基本认证代替Form Login
??? ?<http auto-config='true'>
?????????????? <intercept-url pattern="/**" access="ROLE_USER" />
?????????????? <http-basic />
????? </http>
???? 这种情况下，当用户访问一个收保护的资源时，基本认证将优先启用,基于Form Login也将同时可用。
???? (5) 设置登出选项
???? <logout logout-url="/static/j_spring_security_logout"/>
??? ?(6) 设置登录后系统的主页
??? ?默认值为："/"
??? ?<http>
???????????? <intercept-url pattern='/login.htm*' filters='none'/>
???????????? <intercept-url pattern='/**' access='ROLE_USER' />
???????????? <form-login login-page='/login.htm' default-target-url='/home.htm'
?????????????????????? always-use-default-target='true' />
???? </http>
2. 拦截请求
??? (1) 默认实现
??? <intercept-url pattern="/**" access="ROLE_SPITTER" />
??? 属性pattern默认采用Ant 模式匹配URL地址路径，若改变http元素的属性path-type=regex则将采用regular表
??? 达式；access属性指定访问该URL需要的角色。如：
??? <intercept-url pattern="/admin/**" access="ROLE_ADMIN" />
??? (2) Spring表达式实现
??? 需要首先在http元素中指定：use-expressions="true"：
??? <http auto-config="true" use-expressions="true">
?????? ...
??? </http>
??? 与默认实现中等价配置：
??? <intercept-url pattern="/admin/**" access="hasRole('ROLE_ADMIN')"/>
??? 如果当前用户被赋予了相应的角色，则hasRole()表达式将返回True, 认证通过。从SpringSecurity开始，已经提供
??? 了许多表达式，见附件：Spring Security extends the Spring Expression Language.zip
??? 例如，如果想指定一个URL地址只能被指定的角色和指定的IP地址访问，可以配置成这样：
??? <intercept-url pattern="/admin/**"
????????? access="hasRole('ROLE_ADMIN') and hasIpAddress('192.168.1.2')"/>
??? (3) 使用https
??? <intercept-url pattern="/spitter/form" requires-channel="https"/>
??? 需要指定属性：requires-channel="https"， 如果不需要https支持，则：requires-channel="http".
