security

1.Acegi认证与授权
1.1在Web.xml中添加
   
   
        Acegi Filter Chain Proxy
        org.acegisecurity.util.FilterToBeanProxy
       
            targetClass
            org.acegisecurity.util.FilterChainProxy
       
   
   
        Acegi Filter Chain Proxy
        /*
   
1.2bookstore对每个Component都有单独的配置。这里也参照它的结构，把Acegi的配置文件放在bookstoredemo/src/java/org/springside/bookstoredemo/components/acegi目录下，取名applicationContext-acegi-security.xml，并在bookstoredemo/src/resources/spring目录下新建applicationContext-components.xml文件，内容如下：



   
   




1.3在applicationContext-acegi-security.xml中添加刚才在Web.xml文件中声明的org.acegisecurity.util.FilterChainPrxy:
            class="org.acegisecurity.util.FilterChainProxy">
       
           
                CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
                PATTERN_TYPE_APACHE_ANT
                /**=httpSessionContextIntegrationFilter,logoutFilter,authenticationProcessingFilter,securityContextHolderAwareRequestFilter,rememberMeProcessingFilter,anonymousProcessingFilter,exceptionTranslationFilter,filterInvocationInterceptor
           
       
   
这个bean它主要是装载filterInvocationDefinitionSource指定的filter类，并顺序调用它们的doFilter方法，进行安全服务处理。这个bean总共声明了8个filter。

1.4顺序添加httpSessionContextIntegrationFilter:
            class="org.acegisecurity.context.HttpSessionContextIntegrationFilter"/>
这个bean负责每次请求从HttpSession中获取Authentication对象,然后把Authentication存于一个新的ContextHolder对象(其实质上只是一个ThreadLocal对象)中,则让该次请求过程中的任何Filter都可以通过ContextHolder来共享Authentication,而不需要从HttpSession中取,减少传HttpRequest参数的麻烦.在请求完后把Authentication对象保存到HttpSession中供下次请求使用,最后把刚才生成的ContextHolder对象销毁.这样就达到了让Authentication对象跨越多个请求的目的.注意此filter须在调用其他Acegi filter前使用
1.5顺序添加logoutFilter：
   
            class="org.acegisecurity.ui.logout.LogoutFilter">
       
       
       
           
               
                                        class="org.acegisecurity.ui.logout.SecurityContextLogoutHandler"/>
           
       
   
这个bean负责处理退出登录后所需要的清理工作。它会把session销毁,把ContextHolder清空， 把rememberMeServices从cookies中清除掉，然后重定向到指定的退出登陆页面。

1.6顺序添加authenticationProcessingFilter
   
            class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilter">
                        ref="authenticationManager"/>
                        value="/acegilogin.jsp?login_error=1"/>
       
                        value="/j_acegi_security_check"/>
       
   
这个bean处理一个认证表单,登陆用的表单必须提交用户名和密码这两个参数给这个filter.由用户名和密码构造一个UsernamePasswordAuthenticationToken，将传给AuthenticationManager的authenticate方法进行认证处理。该filter默认处理filterProcessesUrl属性指定的URL，认证失败会转到authenticationFailureUrl，认证成功会转到defaultTargetUrl页面。

1.7顺序添加securityContextHolderAwareRequestFilter
            class="org.acegisecurity.wrapper.SecurityContextHolderAwareRequestFilter"/>
这个bean保存当前的请求到SavedRequest，并存入Session，然后转到登录页。


1.8顺序添加rememberMeProcessingFilter
            class="org.acegisecurity.ui.rememberme.RememberMeProcessingFilter">
                        ref="authenticationManager"/>
       
   
 这个bean以cookie的形式来保存认证信息。负责在用户登录后在本地机上记录用户cookies信息，免除下次再次登陆。检查 AuthenticationManager 中是否已存在Authentication对象，如果不存在则会调用RememberMeServices的aotoLogin方法来从cookies中 获取Authentication对象。

1.9顺序添加nonymousProcessingFilter
            class="org.acegisecurity.providers.anonymous.AnonymousProcessingFilter">
       
                        value="anonymousUser,ROLE_ANONYMOUS"/>
   
这个bean负责为当不存在任何授权信息时，自动为Authentication对象添加userAttribute中定义的匿名用户权限


1.10顺序添加exceptionTranslationFilter
            class="org.acegisecurity.ui.ExceptionTranslationFilter">
       
                                class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilterEntryPoint">
               
               
           
       
       
                                class="org.acegisecurity.ui.AccessDeniedHandlerImpl">
               
           
       
   
这个bean负责处理各种异常，然后重定向到相应的页面中。

1.11顺序添加filterInvocationInterceptor
            class="org.acegisecurity.intercept.web.FilterSecurityInterceptor">
                        ref="authenticationManager"/>
       
           
                                        value="false"/>
               
                   
                       
                                                        class="org.acegisecurity.vote.AuthenticatedVoter"/>
                   
               
           
       
                        ref="filterDefinitionSource"/>
   
这个bean会首先调用AuthenticationManager判断用户是否已登陆认证,如还没认证成功,则重定向到登陆界面.认证成功,则从 Authentication中获取用户的权限.然后从objectDefinitionSource属性获取各种URL资源所对应的权限.最后调用 AccessDecisionManager来判断用户所拥有的权限与当前受保护的URL资源所对应的权限是否相匹配.如果匹配失败,则返回403错误给 用户.匹配成功则用户可以访问受保护的URL资源

1.12至此，我们在1.3中所声明的8个Filter全部装载完成。试运行，会提示找不到rememberMeServices，这个rememberMeServices在1.6和1.8中声明，添加rememberMeServices：
            class="org.acegisecurity.ui.rememberme.TokenBasedRememberMeServices">
       
       
   
这个bean负责通过以cookie的形式保存先前的用户登录信息。在Authentication对象不存在时， rememberMeProcessingFilter会调用rememberMeServices的autoLogin()方法，尝试在cookie中 获取用户登录信息，如果存在则并返回Authentication对象。在每次用户登录时，如果设置了RememberMe功能，在验证用户身份成功后， 则会调用loginSuccess()方法记录用户信息在cookie中，否则调用loginFail()方法清除cookie。

1.13为1.12添加userDetailsService:
            class="org.acegisecurity.userdetails.jdbc.JdbcDaoImpl">
       
       
           
                select loginid,passwd,1 from ss_users where status='1'
                and loginid = ?
           
       
       
           
                select u.loginid,r.name from ss_users u,ss_roles r,ss_user_role ur
                where u.id=ur.user_id and r.id=ur.role_id and u.status='1'
                and u.loginid=?
           
       
   


1.14为1.11添加authenticationManager：
            class="org.acegisecurity.providers.ProviderManager">
       
           
               
                                        class="org.acegisecurity.providers.anonymous.AnonymousAuthenticationProvider">
                   
               
                                        class="org.acegisecurity.providers.rememberme.RememberMeAuthenticationProvider">
                   
               
           
       
   
AuthenticationManager的其中一个实现是ProviderManager,它负责把身份验证的工作委托给一个或多个Provider(认证提供者).
Provider都是实现AuthenticationProvider接口,该接口有两个方法authenticate()和support(). authenticate()方法会尝试验证用户身份,若验证成功则返回一个Authentication对象,否则抛出一个 AuthenticationException.
support()方法会评估当前Authentication对象是否适合这个Provider来进行进一步的处理,而不是指已经通过.
Provir有多个实现.例如daoAuthenticationProvider,anonymousAuthenticationProvider,rememberMeAuthenticationProvider.

1.15添加daoAuthenticationProvide：
            class="org.acegisecurity.providers.dao.DaoAuthenticationProvider">
       
       
       
   
daoAuthenticationProvider负责提供用户信息，包括用户名和密码。其中取用户名密码的工作就交给 userDetailsService来做。通过userCache来缓存用户信息，减少查询数据库次数。用passwordEncoder来使用加密密 码。userDetailsService的接口实现有jdbcDaoImpl和inMemoryDaoImpl。jdbcDaoImpl通过数据库获取 用户名和密码，而inMemoryDaoImpl则只是通过xml定义的方式来获取。
userCache的接口实现有EhCacheBasedUserCache和NullUserCache。NullUserCache实际上就是不进行缓存。EhCacheBasedUserCache是基于ehcache的开源缓存项目来实现的。
passwordEncoder是使用加密器对用户输入的明文进行加密。Acegi提供了三种加密器:
PlaintextPasswordEncoder---默认，不加密，返回明文.
ShaPasswordEncoder---哈希算法(SHA)加密
d5PasswordEncoder---消息摘要(MD5)加密

1.16添加userCache：
   
       
                                class="org.springframework.cache.ehcache.EhCacheFactoryBean" autowire="byName">
               
               
           
       
   

1.17添加cacheManager：
   
       
            classpath:org/springside/bookstoredemo/components/acegi/ehcache.xml
       
   

1.18添加bookstoredemo/arc/java/org/springside/bookstoredemo/components/acegi/ehcache.xml，内容参照源代码。
1.19添加passwordEncoder：
   
            class="org.acegisecurity.providers.encoding.Md5PasswordEncoder"/>

1.20添加filterDefinitionSource
            class="org.springside.bookstoredemo.components.acegi.intercept.web.DBFilterInvocationDefinitionSource">
                        value="true"/>
       
       
   


1.21添加
org.springside.bookstoredemo.components.acegi.domain.Resource;
org.springside.bookstoredemo.components.acegi.domain.Role;
org.springside.bookstoredemo.components.acegi.domain.User;
org.springside.bookstoredemo.components.acegi.resourcedetails.Resourceimport org.springside.bookstoredemo.components.acegi.Constants;
org.springside.bookstoredemo.components.acegi.resourcedetails.ResourceCache;
org.springside.bookstoredemo.components.acegi.cache.AcegiCacheManager;
org.springside.bookstoredemo.components.acegi.resourcedetails.ResourceDetails;
org.springside.bookstoredemo.components.acegi.intercept.web.DBFilterInvocationDefinitionSource.java;
添加
org.springside.bookstoredemo.components.acegi.domain.hbm.Resource.hbm.xml;
org.springside.bookstoredemo.components.acegi.domain.hbm.Role.hbm.xml;
org.springside.bookstoredemo.components.acegi.domain.hbm.Role.hbm.xml;
这几个文件稍稍改下class的映射地址
在dataAccessContext-hibernate.xml中合适地方添加
       
           
               
                    classpath*:/org/springside/bookstoredemo/components/acegi/domain/hbm/
               
           
       

1.22添加acegiCacheManager
            abstract="false" autowire="byName">
       
       
       
           
               
               
               
           
       
       
           
                PROPAGATION_REQUIRED
                PROPAGATION_REQUIRED
                PROPAGATION_REQUIRED,readOnly
                PROPAGATION_REQUIRED,readOnly
                PROPAGATION_REQUIRED,readOnly
           
       
   

1.23添加resourceCache
   
   
            class="org.springside.bookstoredemo.components.acegi.resourcedetails.ResourceCache"
        autowire="byName">
       
                            class="org.springframework.cache.ehcache.EhCacheFactoryBean">
               
               
           
       
   

1.24添加loggerListener
   
            class="org.acegisecurity.event.authentication.LoggerListener"/>


1.25打开浏览器，输入http://localhost:8080/bookstoredemo/admin/，提示404错误。我们在webapp 目录下新建文件acegilogin.jsp，并把bookstore例子中的文件内容拷贝过来，再访问http://localhost: 8080/bookstoredemo/admin/，会打开acegilogin,jsp页面，这个页面用来供用户登录。我们先看看Acegi是如何转 到这个登录页面的：首先浏览器发送http://localhost:8080/bookstoredemo/admin/请求，调用 httpSessionContextIntegrationFilter，从HttpSession中获取Authentication对象,然后把 Authentication存于一个新的ContextHolder对象。因为没有Authentication信息，Acegi转到异常处理 Filter(1.10声明)，并转向到loginFormUrl。

1.26登录失败的流程
    1.26.1用户不存在
    用户输入错误的用户名或密码，Acegi会转到表单认证Filter(1.6中声明)，转向到authenticationFailureUrl；
    1.26.2用户没有权限
    用户登录信息正确，Acegi通过系列数据库查询，会得出用户没有任何权限，Acegi会通过/j_acegi_security_check自动转向到/accessDenied.jsp。
1.26登录成功的流程
    用户登录信息正确，Acegi通过系列数据库查询，得到用户admin对/admin/下的所有请求都有权限(可以自行分析数据库的数据)。Acegi转到表单认证，转向到defaultTargetUrl。

1.27登出流程
    用户登出，如果没有声明注销处理Filter(1.5中声明),会清除登录信息，并最终重定向到/j_acegi_logout上，而如果声明了注销处理，则重定向到constructor-arg的Value上

1.28需要注意的几点
登录用户名和密码必须是j_username,j_password;/j_acegi_logout;/j_acegi_security_check.

另外，还有几个重要的拦截器和组件:
1.29
            class="org.acegisecurity.intercept.method.aopalliance.MethodSecurityInterceptor">
       
            false
       
       
           
       
       
           
       
       
           
       
       
           
                sample.contact.ContactManager.create=ROLE_USER
                sample.contact.ContactManager.getAllRecipients=ROLE_ADMIN
           
       
   
MethodSecurityInterceptor实现了org.aopalliance.intercept.MethodInterceptor接 口.在方法被调用之前,拦截器会先调用AuthenticationManager判断用户身份是否已验证,然后从 objectDefinitionSource中获取方法所应用的权限,再调用AccessDecisionManager来匹配用户权限和方法对应的权 限.如果用户没有足够权限调用当前方法,则抛出AccessDeniedException是方法不能被调用.调用runAsManager,使在调用方 法前动态改变authentication中获取用户权限.
1.30
   
       
       
           
               
           
       
       
           
               
               
               
           
       
   
1.31
BeanNameAutoProxyCreator
设置AOP代理的最简单方法就是用Spring的BeanNameAutoProxyCreator.在BeanNameAutoProxyCreator中选出你所需要的interceptor,和列出你所需要保护的Bean.
   
       
            false
       
       
           
               
           
       
   
   
AccessDecisionManager接口有decide()和support()方法.decide()方法是进行决策是否批准通过,如果没有抛 出AccessDeniedException则为允许访问资源,否则拒绝访问.support()方法是根据配置属性和受保护资源的类来判断是否需要对 该资源作出决策判断.
AccessDecisionManager有三个实现类,功能各不相同:
AffirmativeBased:当至少有一个Voter投允许票才通过
UnanimousBased:没有Voter投反对票时才通过
ConsensusBased:当所有Voter都投允许票时才通过
1.32
   
       
            my_run_as_password
       
   
runAsmanager提供了动态替换ContextHolder中Ahthentication对象的功能


2.Book管理
按照前面所讲的Acegi登录成功以后，左边会出现 Book Manager和Shop Manager，意味着我们可以在权限内对Book和Shop进行管理了。

2.1Book和Pojo和Manager我们可以用刚开始建的，现在只要建立Book的Controller：
    新建org.springside.bookstoredemo.web.admin.BookManagerAction.java，内容如下：
public class BookManagerAction extends StrutsEntityAction {
    private BookManager bookManager;
   
    public void setBookManager(BookManager bookManager) {
        this.bookManager = bookManager;
    }
   
   
}
当然必要的import和package不能省。
2.2 在/WEB-INF/web.xml中的struts Action Mapping部分添加struts-congfig-admin.xml路径;
2.3在struts-config-admin.xml中添加
   
       
   

以及

       
           
           
           
       


2.4新建
            /WEB-INF/pages/admin/bookList.jsp
            /WEB-INF/pages/admin/bookForm.jsp

   
2.5在/WEB-INF/modules/spring-config-admin.xml中添加
   
2.6以上步骤完成以后，当我们点击Book Management时，右边能正常出现Boos的列表，但是我们还不能对Book进行添加或编辑等操作，页面会提示出错，而后台出错说明是 Connot find "categories" in any scope，查看bookList.jsp文件我们就知道，这个categories是用来生成一个目录下拉框的。而Book实体里的确是没有 categories这个属性的，所以我们只有自己在BookManagerAction里把categories加进去。
    /**
    * 在List 与 Edit View中放入Category列表.
    *
    * @see StrutsEntityAction#edit(org.apache.struts.action.ActionMapping,org.apache.struts.action.ActionForm,javax.servlet.http.HttpServletRequest,javax.servlet.http.HttpServletResponse)
    * @see StrutsEntityAction#view(org.apache.struts.action.ActionMapping,org.apache.struts.action.ActionForm,javax.servlet.http.HttpServletRequest,javax.servlet.http.HttpServletResponse)
    * @see StrutsEntityAction#list(org.apache.struts.action.ActionMapping,org.apache.struts.action.ActionForm,javax.servlet.http.HttpServletRequest,javax.servlet.http.HttpServletResponse)
    */
    @Override
    protected void refrenceData(HttpServletRequest request) {
        request.setAttribute("categories", bookManager.getCategories());
    }

2.7新的错误！
System Runtime Error:
No form found under 'bookForm' in locale 'zh_CN'
这个错误是由validation(验证)造成的，在bookForm.jsp文件里有2行


这2行主要是用来动态生成验证规则的，验证规则描述在struts-config.xml中有声明：
   
                            value="/WEB-INF/validator-rules.xml,/WEB-INF/modules/validation-admin.xml"/>
   
这样，当bookForm.jsp文件被调用时，会按照规则生成javascript语句，但是当validation-admin.xml没有声明或是 有错误的声明bookForm的表单元素时，就会出现这个错误。我们修改validation-admin.xml内容如下：

        "-//Apache Software Foundation//DTD Commons Validator Rules Configuration 1.3.0//EN"
        "http://jakarta.apache.org/commons/dtds/validator_1_3_0.dtd">

   
       

           
               
           
           
               
           
           
               
           
       

   


2.8新的错误
null is required!
我们编辑其中一本书，把书名删掉，再点Save，就会出来1个错误提示框，上面的内容就是“null is required!”其实我们更想要的提示是“书名是必填项！”这是因为我们还没有配置i18n,我们打开 bookstoredemo/src/resources/i18n/cn/messages_zh_CN.properties，会发现内容很少。我把 修改以前的文件和修改后的文件放在了bookstoredemo/src/resources/i18n/cn/下，可以仔细比较这2个文件，要注意表单 名、表单元素名、errors、bookForm里的内容要严格的对应！至于messages.properties文件是在哪里加载的，可以看看 web.xml文件中，有一段代码
   
   
        javax.servlet.jsp.jstl.fmt.localizationContext
        i18n/messages
   
   
        extremecomponentsPreferencesLocation
        /config/extremetable.properties
   
   
        extremecomponentsMessagesLocation
        i18n/messages
   
这段代码用来指定默认的i18n资源文件。再看看bookstoredemo/bin/build_compile.xml文件，有一段代码
   
   
       
           
           
               
           
       
   
这段代码指定了中文的资源文件在i18n/cn目录下。


3.Book订购
3.1顾客Customer、订单Orders、订单项OrderItem、货物Product的表结构分析：顾客可以下多个订单，而订单可以有多个订单项(1张订单可以订购多种货物)，1种货物可以在多个订单项里出现。因此，这几张表的关联关系就是：
3.1.1.Customer和Orders形成一对多在关联关系，反过来，Orders和Customer则形成多对一的关联关系;
3.1.2.Orders与OrderItem构成父子集合关系。
3.1.3.OrderItem与Product构成多对一关系。
3.2
    3.2.1.编写带注解的Customer.java,Orders.java,OrderItem.java。在dataAccessContext-hibernate.xml文件中加入
                org.springside.bookstoredemo.model.Customer
                org.springside.bookstoredemo.model.Orders
                org.springside.bookstoredemo.model.OrderItem
    3.2.2.编写订单的Manager类OrderManager.java，CustomerManager。在serviceContext.xml中注入orderManager,customerManager:
               
               
    3.2.3.编写订单的Action类OrderAction.java。在spring-config-shop.xml中加入：
               
        在struts-config-shop.xml中加入：
       

       
    3.2.4.编写购物车Cart.java。在spring-config-shop.xml中加入：
   
       
   
    把购物车加载到Session中