Acegi

acegi保护业务方法 
一、在Acegi配置文件中配置实现保护业务方法
保护业务方法配置(假设不保护领域对象)：

<bean id="contactManagerSecurity"
    class="org.acegisecurity.intercept.method.aopalliance.MethodSecurityInterceptor">
    <property name="authenticationManager" ref="authenticationManager" />
    <property name="accessDecisionManager"
        ref="httpRequestAccessDecisionManager" />
    <property name="objectDefinitionSource">
        <value>
            sample.service.IContactManager.create=ROLE_USER
            sample.service.IContactManager.delete=ROLE_ADMIN
            sample.service.IContactManager.getAll=ROLE_USER,ROLE_ADMIN
            sample.service.IContactManager.getById=ROLE_ADMIN
            sample.service.IContactManager.update=ROLE_ADMIN
        </value>
    </property>
</bean>



业务接口和实现类

public interface IContactManager{
  public List getAll();
  public Contact getById(Integer id);
  public void create(Contact contact);
  public void update(Contact contact);
  public void delete(Contact contact);
}
 
public class ContactManager implements IContactManager {
    ……
}



加入保护业务方法的拦截器

<bean id="transactionInterceptor"
    class="org.springframework.transaction.interceptor.TransactionInterceptor">
    <property name="transactionManager">
        <ref bean="transactionManager" />
    </property>
    <property name="transactionAttributeSource">
        <value>
            sample.service.impl.ContactManager.*=PROPAGATION_REQUIRED
        </value>
    </property>
</bean>
 
<!--dao start -->
<bean id="contactDao" class="sample.dao.impl.ContactDao">
    <property name="dataSource">
        <ref bean="dataSource" />
    </property>
</bean>
 
<!--service start -->
<bean id="contactManagerTarget"
    class="sample.service.impl.ContactManager">
    <property name="contactDao">
        <ref bean="contactDao" />
    </property>
</bean>
 
<bean id="contactManager"
    class="org.springframework.aop.framework.ProxyFactoryBean">
    <property name="proxyInterfaces">
        <value>sample.service.IContactManager</value>
    </property>
    <property name="interceptorNames">
        <list>
            <idref local="transactionInterceptor" />
            <STRONG><!-- 加入保护业务方法的拦截器 -->
            <idref bean="contactManagerSecurity"/></STRONG>
            <idref local="contactManagerTarget" />
        </list>
    </property>
</bean>



Run-As认证服务：

有这样一些场合，系统用户必须以其他角色身份去操作某些资源。例如，用户A要访问资源B，而用户A拥有的角色为AUTH_USER，资源B访问的角色必须为AUTH_RUN_AS_DATE，那么此时就必须使用户A拥有角色AUTH_RUN_AS_DATE才能访问资源B。

为了实现这一需求，Acegi为我们提供了Run-As认证服务。下面我们举例说明如何应用Run-As认证服务。

1、用于配置Run-As认证服务的接口与实现类

public interface IRunAsDate {
    public void showDate();
}
 
public class RunAsDate implements IRunAsDate {
    private static final Log log = LogFactory.getLog(RunAsDate.class);
 
    /* (non-Javadoc)
     * @see sample.service.IRunAsDate#showDate()
     */
    public void showDate() {
        log.info("当前日期: " + new Date());
    }
}



对showDate方法进行授权
      设置访问showDate方法必须拥有AUTH_RUN_AS_DATE角色，同时暴露IRunAsDate接口

<bean id="runAsDateImpl"
    class="org.springframework.aop.framework.ProxyFactoryBean">
    <property name="proxyInterfaces">
        <value>sample.service.IRunAsDate</value>
    </property>
    <property name="interceptorNames">
        <list>
            <idref local="runAsDateSecurity" />
            <idref local="runAsDateTarget" />
        </list>
    </property>
</bean>
 
<bean id="runAsDateTarget" class="sample.service.impl.RunAsDate"></bean>
 
<bean id="runAsDateSecurity"
    class="org.acegisecurity.intercept.method.aopalliance.MethodSecurityInterceptor">
    <property name="alwaysReauthenticate" value="true" />
    <property name="authenticationManager" ref="authenticationManager" />
    <property name="accessDecisionManager"
        ref="httpRequestAccessDecisionManager" />
    <property name="objectDefinitionSource">
        <value>
            sample.service.IRunAsDate.showDate=AUTH_RUN_AS_DATE
        </value>
    </property>
</bean>



其中，alwaysReauthenticate为true表示每次操作都需要进行身份的验证。在默认情况下，RunAsManagerImpl构建的RunAsUserToken认证对象都是已认证状态。因此，只有设置alwaysReauthenticate为true时，才会触发RunAsImplAuthenticationProvider的认证操作。

配置RunAsImplAuthenticationProvider
      RunAsManagerImpl实例会基于现有的的已认证对象创建新的RunAsUserToken认证类型，而RunAsImplAuthenticationProvider要负责这一认证类型的认证工作。与其他认证提供者一样，必须将其加入authenticationManager中

<bean id="runAsImplAuthenticationProvider"
    class="org.acegisecurity.runas.RunAsImplAuthenticationProvider">
    <property name="key" value="javaee" />
</bean>
 
<bean id="authenticationManager"
    class="org.acegisecurity.providers.ProviderManager">
    <property name="providers">
        <list>
            ……
            <!-- 配置与daoAuthenticationProvider类似 -->
            <ref bean="runAsImplAuthenticationProvider" />
        </list>
    </property>
</bean>



配置RunAsManagerImpl
      RunAsManagerImpl中的key必须与RunAsImplAuthenticationProvider中的key一致，从而保证RunAsManagerImpl 与RunAsImplAuthenticationProvider协同工作。在前面章节中，对于匿名认证与Remember-Me认证中也需要提供类似的key属性值。
      RunAsManagerImpl的rolePrefix属性默认值为ROLE_。由于我们配置的资源需要的角色为AUTH_RUN_AS_DATE，故在此我们将前缀设置为AUTH_。



<bean id="runAsManagerImpl"
    class="org.acegisecurity.runas.RunAsManagerImpl">
    <property name="key" value="javaee" />
    <property name="rolePrefix" value="AUTH_" />
</bean>
 
<bean id="contactManagerSecurity"
    class="org.acegisecurity.intercept.method.aopalliance.MethodSecurityInterceptor">
    <property name="authenticationManager" ref="authenticationManager" />
    <property name="accessDecisionManager"
        ref="httpRequestAccessDecisionManager" />
    <property name="runAsManager" ref="runAsManagerImpl" />
    <property name="objectDefinitionSource">
        <value>
            ……
            sample.service.IContactManager.getAll=ROLE_USER,ROLE_ADMIN
            ,RUN_AS_DATE
            ……
        </value>
    </property>
</bean>



我们对getAll方法配置了RUN_AS_DATE角色，默认时RunAsManagerImpl会从授权信息中获得前缀为”RUN_AS”的角色，同时构建新的授权信息，将rolePrefix添加到角色中，即组成类似AUTH_RUN_AS_DATE的角色。
注意，Run-As认证服务只是临时性替换了现有用户的身份，这一点要比较重视！

在上一节中介绍了通过RDBMS存储web资源授权信息，下面将RDBMS存储业务方法的授权信息

1、修改RdbmsEntryHolder类
前篇保护Web资源时RdbmsEntryHolder类如下：

public class RdbmsEntryHolder implements Serializable {
    // 保护的URL模式

    private String url;
    // 要求的角色集合

    private ConfigAttributeDefinition cad;
    ......
}



由于我们现在所要保护的是业务方法，故我们将url变量易名为method，这样会更加明确。method变量存放类似于“sample.service.IContactManager.create”、“sample.service.IContactManager.update*”的方法名全称。

修改RdbmsSecuredUrlDefinition类
      将RdbmsSecuredUrlDefinition改名为RdbmsSecuredMethodDefinition

public class RdbmsSecuredMethodDefinition extends MappingSqlQuery{
 
    protected static final Log log = LogFactory.getLog(RdbmsSecuredMethodDefinition.class);
      
    public RdbmsSecuredMethodDefinition(DataSource ds) {
        super(ds, SELECT method, roles FROM webresdb ORDER BY id>);
        compile();
    }
 
    /**
     * convert each row of the ResultSet into an object of the result type.
     */
    protected Object mapRow(ResultSet rs, int rownum)
        throws SQLException {
        RdbmsEntryHolder rsh = new RdbmsEntryHolder();
        <STRONG>// 设置业务方法

        rsh.setMethod(rs.getString("method").trim());
          
        ConfigAttributeDefinition cad = new ConfigAttributeDefinition();
          
        String rolesStr = rs.getString("roles").trim();
        // commaDelimitedListToStringArray:Convert a CSV list into an array of Strings

        // 以逗号为分割符, 分割字符串

        String[] tokens =
                StringUtils.commaDelimitedListToStringArray(rolesStr); // 角色名数组

        // 构造角色集合

        for(int i = 0; i < tokens.length;++i)
            cad.addConfigAttribute(new SecurityConfig(tokens[i]));
          
        //设置角色集合

        rsh.setCad(cad);
          
        return rsh;
    }
 
}



自定义实现MethodDefinitionSource接口
      修改RdbmsFilterInvocationDefinitionSource类，改名为RdbmsMethodDefinitionSource，并修改相应方法

protected void initDao() throws Exception {
    this.rdbmsSecuredMethodDefinition =
        new RdbmsSecuredMethodDefinition(this.getDataSource()); // 传入数据源, 此数据源由Spring配置文件注入

    ……
}
 
public ConfigAttributeDefinition getAttributes(Object object) throws IllegalArgumentException {
    if ((object == null) || !this.supports(object.getClass())) {
        throw new IllegalArgumentException("抱歉，目标对象不是MethodInvocation类型");
    }
      
    Method method = ((MethodInvocation) object).getMethod();
      
    List list = this.getRdbmsEntryHolderList();
    if (list == null || list.size() == 0)
        return null;
      
    // 获取方法全称, 如java.util.Set.isEmpty

    String methodString = method.getDeclaringClass().getName() + "." + method.getName();
      
    String mappedName;
    Iterator it = list.iterator();
    <STRONG>// 循环判断当前访问的方法是否设置了角色访问机制, 有则返回ConfigAttributeDefinition(角色集合), 否则返回null</STRONG>

    while (it.hasNext()) {
        RdbmsEntryHolder entryHolder = (RdbmsEntryHolder) it.next();
        mappedName = entryHolder.getMethod();
        boolean matched = pathMatcher.match(entryHolder.getMethod(), methodString);
        //boolean matched = methodString.equals(mappedName) || isMatch(methodString, mappedName);

        if (logger.isDebugEnabled()) {
            logger.debug("匹配到如下Method： '" + methodString + "；模式为 "
                    + entryHolder.getMethod() + "；是否被匹配：" + matched);
        }
 
        // 如果在用户所有被授权的URL中能找到匹配的, 则返回该ConfigAttributeDefinition(角色集合)

        if (matched) {
            return entryHolder.getCad();
        }
    }
      
    return null;
}



通过Spring DI注入RdbmsMethodDefinitionSource

<bean id="contactManagerSecurity"
    class="org.acegisecurity.intercept.method.aopalliance.MethodSecurityInterceptor">
    <property name="authenticationManager" ref="authenticationManager" />
    <property name="accessDecisionManager" ref="httpRequestAccessDecisionManager" />
    <property name="objectDefinitionSource" ref="<STRONG>rdbmsMethodDefinitionSource</STRONG>" />
</bean>
 
<bean id="<STRONG>rdbmsMethodDefinitionSource</STRONG>" class="sample.service.impl.<STRONG>RdbmsMethodDefinitionSource</STRONG>">
    <property name="dataSource" ref="dataSource" />
    <property name="webresdbCache" ref="webresCacheBackend" />
</bean>
 
<bean id="cacheManager" class="org.springframework.cache.ehcache.EhCacheManagerFactoryBean"/>
 
<bean id="webresCacheBackend"
    class="org.springframework.cache.ehcache.EhCacheFactoryBean">
    <property name="cacheManager">
        <ref local="cacheManager"/>
    </property>
    <property name="cacheName">
        <value>webresdbCache</value>
    </property>
</bean>