Spring Security教程(一)

概要

Spring Security，这是一种基于 Spring AOP 和 Servlet 过滤器的安全框架。它提供全面的安全性解决方案，同时在 Web 请求级和方法调用级处理身份确认和授权。这里过多的spring security解释和作用就不在这里赘述了，请自行搜索。目前最新版本的Spring Security为4.2.2，但是我这里用了稳定版本3.1.3。下面例子为一个简单的Spring Security配置应用。

新建一个web maven项目

如果不知道怎么新建web maven项目的请参考我的另一篇博客：http://blog.csdn.net/AirMario/article/details/53954986

新建好项目之后在webapp下添加了两个jsp文件，adminPage.jsp和index.jsp。其中adminPage.jsp只有那些拥有ROLE_ADMIN，ROLE_USER其中一种权限的用户才能访问，而index.jsp只允许那些拥有ROLE_USER权限的用户才能访问。

file

配置过滤器

为了在项目中使用Spring Security控制权限，首先要在web.xml中配置过滤器，这样我们就可以控制对这个项目的每个请求了。

web.xml

    SpringSecurity
    
    
    
        contextConfigLocation
        WEB-INF/config/applicationContext*.xml
    
    
    
        springSecurityFilterChain
        org.springframework.web.filter.DelegatingFilterProxy
    
    
        springSecurityFilterChain
        /*
    

    
        org.springframework.web.context.ContextLoaderListener
    
    

Spring Security的配置

在WEB-INF/config/下新建applicationContext.xml，配置如下

说明：

1. 文件的头部为，声明在xml中使用Spring Security提供的命名空间。

2. http部分配置如何拦截用户请求。auto-config='true'将自动配置几种常用的权限控制机制，包括form, anonymous, rememberMe。

3. 利用intercept-url来判断用户需要具有何种权限才能访问对应的url资源，可以在pattern中指定一个特定的url资源，也可以使用通配符指定一组类似的url资源。例子中定义的两个intercepter-url，第一个用来控制对/admin.jsp的访问，第二个使用了通配符 /**，说明它将控制对系统中所有url资源的访问。

4. Spring Security采用的是一种就近原则，就是说当用户访问的url资源满足多个intercepter-url时，系统将使用第一个符合条件的intercept-url进行权限控制。在我们这个例子中就是，当用户访问/admin.jsp时，虽然两个intercept-url都满足要求，但因为第一个intercept-url排在上面，所以Spring Security会使用第一个intercept-url中的配置处理对/adminPage.jsp的请求，也就是说，只有那些拥有了ROLE_ADMIN权限的用户才能访问/adminPage.jsp。

5. access指定的权限都是以ROLE_开头的，实际上这与Spring Security中的Voter机制有着千丝万缕的联系，只有包含了特定前缀的字符串才会被Spring Security处理。目前来说我们只需要记住这一点就可以了。

6. user-service中定义了两个用户，admin和user。为了简便起见，我们使用明文定义了两个用户对应的密码，这只是为了当前演示的方便，之后的例子中我们会使用Spring Security提供的加密方式，避免用户密码被他人窃取

7. 最重要的部分是authorities，这里定义了这个用户登陆之后将会拥有的权限，它与上面intercept-url中定义的权限内容一一对应。每个用户可以同时拥有多个权限，例子中的admin用户就拥有ROLE_ADMIN和ROLE_USER两种权限，这使得admin用户在登陆之后可以访问ROLE_ADMIN和ROLE_USER允许访问的所有资源。与之对应的是，user用户就只拥有ROLE_USER权限，所以他只能访问ROLE_USER允许访问的资源，而不能访问ROLE_ADMIN允许访问的资源。

pom.xml文件

    4.0.0
 
    com.zmc
    SpringSecurityDemo
    0.0.1-SNAPSHOT
    war
 
    SpringSecurityDemo
    http://maven.apache.org
 
    
        UTF-8
        UTF-8
        1.7
        3.2.2.RELEASE
        1.6.10
        1.6.1
    
 
    
        
        
            org.springframework
            spring-context
            ${org.springframework-version}
        
        
            org.springframework
            spring-webmvc
            ${org.springframework-version}
        
        
            org.springframework
            spring-context-support
            ${org.springframework-version}
        
        
            commons-logging
            commons-logging
            1.1.3
        
        
        
            org.springframework.security
            spring-security-core
            3.1.4.RELEASE
        
        
            org.springframework.security
            spring-security-web
            3.1.3.RELEASE
        
        
            org.springframework.security
            spring-security-config
            3.1.3.RELEASE
        
        
            org.springframework.security
            spring-security-crypto
            3.1.3.RELEASE
        
        
            org.springframework.security
            spring-security-taglibs
            3.1.3.RELEASE
        
        
            junit
            junit
            3.8.1
            test
        
    

这样一个项目就构建完成了，部署到tomcat进行测试。

结果

在浏览器上输入：http://localhost:8888/SpringSecurityDemo/，因为没有登陆，所以无法访问index.jsp页面，这个时候spring security就起作用了，对资源进行拦截，因为没有符合权限的用户登陆，所以就跳转到登陆页面，其中这个登陆页面是Spring Security自动生成的，这也是auto-config=”true”起的作用之一。

file

然后输入用户名和密码，成功跳转到index.jsp页面。

file

这里因为admin用户有ROLE_ADMIN和ROLE_USER权限，而index.jsp页面ROLE_USER权限即可访问，所以admin用户可以成功访问index.jsp和adminPage.jsp页面。

下面再来测试用户user，注意已经登陆了的话，应该重启浏览器，要不然会一直记住用户，无法做测试。

file

从上图中可以看到，登陆用户user，可以访问index.jsp页面但是无法访问adminPage.jsp。这是因为user用户只有ROLE_USER权限，而adminPage.jsp页面需要ROLE_USER权限，所以就拒绝访问。

以上就是一个简单的spring security配置应用。
微信公众号关注：ByteZ，获取更多学习资料

file