Spring Security实践（一）：简介

Spring Security是一个强大的和高度可定制的认证和授权框架。它是保护基于Spring的应用的事实上的标准，为基于Java EE的软件应用提供了一系列复杂的安全解决方案。

正如大家所知道的，应用安全主要包含两个领域：认证和授权。这也是Spring Security的主要的目标领域。认证这样一种处理：为接入者建立一个有效的凭据（凭据通常意味着一个用户、设备或者其他要在你的应用中执行操作的系统）授权主要是建立一种规则来决定是否一个凭据被允许在你的应用程序中执行某一个操作。这些概念都是通用的，在Spring Security中并没有什么不同。

Spring Security支持广泛的认证模型，其中大部分认证模型既可以被第三方提供，也可以是相关的标准机构（如IETF）开发。另外，Spring Security也提供自己的一些安全特性。特别地：Spring Security目前支持整合下面这些认证技术：

HTTP Basic认证头（一个基于IETF RFC的标准）
HTTP Digest认证头（一个基于IETF RFC的标准）
HTTP X.509客户端证书交换（一个基于IETF RFC的标准）
LDAP（一个非常通用的跨平台认证技术，尤其是在大型的应用场景中）
基于表格的认证（对应于单用户的需求）
OpenID认证
基于预认证请求头的认证技术（比如Computer Associates Siteminder）
JA-SIG中央认证系统（流行的如CAS，一个流行的开源SSO系统）
透明的认证内容传输，为RMI和HTTPinvoker(一个Spring远端协议)服务
自动的”remember-me“认证（可以避免在一个预先确定的时间内再次认证）
匿名认证（允许为每一个没有认证的请求自动分配一个特殊的安全标识）
Run-as authentication(which is useful if one call should proceed with a different security identity)
Java认证和授权服务（JAAS）
JEE 容器认证（所以仍旧可以使用Container Managed Authentication，如果必要）
Kerberos
Java Open Source Single Sign On(JOSSO)
OpenNMS 网络管理平台
AppFuse
AndroMDA
Mule ESB
Direct WEB Request（DWR）
Grails
Tapestry
JTrac
Jasypt
Roller
Elastic Path
Atlassian Crowd
你自己的认证系统

Spring Security同样提供了一箩筐的授权能力，主要集中在三个主要的兴趣领域：授权WEB请求、授权是否方法可以被执行、授权是否可以访问独立的域资源。为了便于理解它们的不同，可以对比与基于Servlet的WEB路径匹配的安全，EJB 容器管理安全和文件系统安全。Spring Security提供了对这些重要领域的强大支持。

关于Spring Security更多更全的资料，请看这里：
http://docs.spring.io/spring-security/site/docs/4.0.1.RELEASE/reference/htmlsingle

鉴于Spring Security博大精深，需要了解掌握的东西很多，这里只给予最常用的一些场景的配置和使用做出说明。通过在实际的应用场景中理解和学习Spring Security框架的认证和授权机制。

环境简介

为了便于理解后续的说明，先对实验的WEB开发环境进行说明。

开发工具

Idea 14.0

项目环境

前台：AngularJS
后台：Java Spring
工程类型：Maven
WEB页面管理：Bower+gulp
前台主要调试工具：Chrome

配置文件

Pom.xml：Maven的配置文件，用来自动管理当前项目依赖的jar包
Spring-hibernate.xml：Hibernate数据库框架的配置文件
Spring-security.xml：Spring Security相关配置的配置文件

项目的文件目录如下：

通用配置

Java Spring的配置和WEB应用的配置，这里不再详细说明，用项目中已有的即可。本节主要说明针对Spring Security的配置。

为了使用Spring Security框架，必须在pom.xml中添加下面的依赖：

 
    org.springframework.security
    spring-security-web
    4.0.1.RELEASE


    org.springframework.security
    spring-security-config
    4.0.1.RELEASE

Maven会自动下载上面的两个jar包。同时，为了在Java Spring中添加上Spring Security的Filter，需要修改web.xml，添加如下内容：


  springSecurityFilterChain
  org.springframework.web.filter.DelegatingFilterProxy


  springSecurityFilterChain
  /*

上述内容会生成一个名称为springSecurityFilterChain的Filter，并将该Filter添加到Spring MVC的处理链上，所有符合条件的WEB请求到后台都会被Spring Security的Filter Chain处理。

为了让 Spring-security.xml 生效，注意必须保证这个xml文件被加载，在web.xml中，这样的配置是必须的：


  contextConfigLocation
  classpath:/spring-*.xml


  org.springframework.web.context.ContextLoaderListener

springSecurityFilterChain主要包含如下缺省的Filter：