2. 程式人生 > >Spring安全許可權管理（Spring Security的配置使用）

Spring安全許可權管理（Spring Security的配置使用）

阿新 • • 發佈：2019-01-02

1.Spring Security簡要介紹

Spring Security以前叫做acegi，是後來才成為Spring的一個子專案，也是目前最為流行的一個安全許可權管理框架，它與Spring緊密結合在一起。

Spring Security關注的重點是在企業應用安全層為您提供服務，你將發現業務問題領域存在著各式各樣的需求。銀行系統跟電子商務應用就有很大的不同。電子商務系統與企業銷售自動化工具又有很大不同。這些客戶化需求讓應用安全顯得有趣，富有挑戰性而且物有所值。Spring Security為基於J2EE的企業應用軟體提供了一套全面的安全解決方案。

2.為Spring Security配置過濾器和其他引數

要使用Spring Security，首先就是在web.xml中為它配置過濾器， 其次因為我的spring配置檔案是放在WEB-INF下的，因此還要配置上下文的引數，最後新增spring的監聽器：

view plaincopy to clipboardprint?

<?xml version="1.0" encoding="UTF-8"?>
<web-app version="2.5" xmlns="http://java.sun.com/xml/ns/javaee"
 xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
 xsi:schemaLocation="

http://java.sun.com/xml/ns/javaee   http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd">
 <!-- 配置上下文引數,指定spring配置檔案的位置 -->
 <context-param>
  <param-name>contextConfigLocation</param-name>
  <param-value>/WEB-INF/spring-*.xml</param-value>
 </context-param>
 <!-- spring security必須的過濾器,保證在訪問所有的頁面時都必須通過認證 -->
 <filter>
  <filter-name>springSecurityFilterChain</filter-name>
  <filter-class>
   org.springframework.web.filter.DelegatingFilterProxy
  </filter-class>
 </filter>
 <filter-mapping>
  <filter-name>springSecurityFilterChain</filter-name>
  <url-pattern>/*</url-pattern>
 </filter-mapping>
 <listener>
  <listener-class>
   org.springframework.web.context.ContextLoaderListener
  </listener-class>
 </listener>
 <welcome-file-list>
  <welcome-file>index.jsp</welcome-file>
 </welcome-file-list>
 <login-config>
  <auth-method>BASIC</auth-method>
 </login-config>
</web-app>
 

3.配置security(spring-security.xml)

view plaincopy to clipboardprint?
<?xml version="1.0" encoding="UTF-8"?> 
<!-- 這裡必須使用security的名稱空間,提供了beans這個假名 --> 
<beans:beans xmlns="http://www.springframework.org/schema/security" 
    xmlns:beans="http://www.springframework.org/schema/beans" 
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
    xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-2.0.xsd  
                        http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-2.0.4.xsd"> 
 
    <!-- Spring Security採用就近原則,有多個約束時,從上至下只要找到第一條滿足就返回,因此因該將最嚴格的約束放在最前面,而將最寬鬆的約束放在最後面.auto-config屬性可以讓spring security為我們自動配置幾種常用的許可權控制機制，包括form,anonymous, rememberMe等。當然你也可以手工配置。--> 
    <http auto-config="true"> 
        <!-- 我們利用intercept-url來判斷使用者需要具有何種許可權才能訪問對應的url資源，可以在pattern中指定一個特定的url資源，也可以使用萬用字元指定一組類似的url資源。例子中定義的兩個intercepter-url，第一個用來控制對/security/**的訪問，第二個使用了萬用字元/**，說明它將控制對系統中所有url資源的訪問。 --> 
        <intercept-url pattern="/security/**" access="ROLE_ADMIN" /> 
        <intercept-url pattern="/**" access="ROLE_ADMIN,ROLE_USER" /> 
        <intercept-url pattern="/login.jsp*" filters="none" /> 
        <logout logout-url="/logout.jsp" 
            logout-success-url="/j_spring_security_check" /> 
    </http> 
 
    <!-- 使用記憶體許可權管理的配置資訊, 在tomcat啟動時,會載入這個檔案並一直儲存在記憶體中,知道應用程式重啟,所以也叫記憶體許可權管理  
        <authentication-provider> 
        <user-service> 
        <user name="admin" password="tomcat" authorities="ROLE_ADMIN"/> 
        <user name="liky" password="redhat" authorities="ROLE_USER"/>       
        </user-service> 
        </authentication-provider> 
    --> 
    <!-- 使用資料庫作為許可權管理的來源,data-source-ref指定了資料來源,所指定的資料來源必須包含users, authorities表,並符合security的定義規範 --> 
    <authentication-provider> 
        <jdbc-user-service data-source-ref="dataSource" /> 
    </authentication-provider> 
 
</beans:beans> 
<?xml version="1.0" encoding="UTF-8"?>
<!-- 這裡必須使用security的名稱空間,提供了beans這個假名 -->
<beans:beans xmlns="http://www.springframework.org/schema/security"
 xmlns:beans="http://www.springframework.org/schema/beans"
 xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
 xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-2.0.xsd
      http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-2.0.4.xsd">

 <!-- Spring Security採用就近原則,有多個約束時,從上至下只要找到第一條滿足就返回,因此因該將最嚴格的約束放在最前面,而將最寬鬆的約束放在最後面.auto-config屬性可以讓spring security為我們自動配置幾種常用的許可權控制機制，包括form,anonymous, rememberMe等。當然你也可以手工配置。-->
 <http auto-config="true">
  <!-- 我們利用intercept-url來判斷使用者需要具有何種許可權才能訪問對應的url資源，可以在pattern中指定一個特定的url資源，也可以使用萬用字元指定一組類似的url資源。例子中定義的兩個intercepter-url，第一個用來控制對/security/**的訪問，第二個使用了萬用字元/**，說明它將控制對系統中所有url資源的訪問。 -->
  <intercept-url pattern="/security/**" access="ROLE_ADMIN" />
  <intercept-url pattern="/**" access="ROLE_ADMIN,ROLE_USER" />
  <intercept-url pattern="/login.jsp*" filters="none" />
  <logout logout-url="/logout.jsp"
   logout-success-url="/j_spring_security_check" />
 </http>

 <!-- 使用記憶體許可權管理的配置資訊, 在tomcat啟動時,會載入這個檔案並一直儲存在記憶體中,知道應用程式重啟,所以也叫記憶體許可權管理
  <authentication-provider>
  <user-service>
  <user name="admin" password="tomcat" authorities="ROLE_ADMIN"/>
  <user name="liky" password="redhat" authorities="ROLE_USER"/>  
  </user-service>
  </authentication-provider>
 -->
 <!-- 使用資料庫作為許可權管理的來源,data-source-ref指定了資料來源,所指定的資料來源必須包含users, authorities表,並符合security的定義規範 -->
 <authentication-provider>
  <jdbc-user-service data-source-ref="dataSource" />
 </authentication-provider>

</beans:beans>

4.資料來源的配置(spring-common.xml)

 <!-- 定義資料來源 -->
 <bean id="dataSource"
  class="org.apache.commons.dbcp.BasicDataSource">
  <property name="driverClassName"
   value="com.mysql.jdbc.Driver">
  </property>
  <property name="url" value="jdbc:mysql://localhost:3306/csu"></property>
  <property name="username" value="root"></property>
  <property name="password" value="redhat"></property>
  <property name="maxActive" value="100"></property>
  <property name="maxIdle" value="30"></property>
  <property name="maxWait" value="300"></property>
  <property name="defaultAutoCommit" value="true"></property>
 </bean> 
</beans>

5.專案的目錄結構


6. 資料庫指令碼

view plaincopy to clipboardprint?
/-- 注意這裡的指令碼是MYSQL的,因此在你演示這個例項的時候,要加入MySQL的驅動包 --/  
   
create table users  
(  
username varchar(50) primary key,  
password varchar(50),  
enabled tinyint(1)  
);  
 
create table authorities  
(  
id int auto_increment primary key,  
username varchar(50),  
authority varchar(50),  
constraint fk_authorities_users foreign key(username) references users(username)  
);  
 
create unique index ix_auth_username on authorities (username,authority); 
/-- 注意這裡的指令碼是MYSQL的,因此在你演示這個例項的時候,要加入MySQL的驅動包 --/
 
create table users
(
username varchar(50) primary key,
password varchar(50),
enabled tinyint(1)
);

create table authorities
(
id int auto_increment primary key,
username varchar(50),
authority varchar(50),
constraint fk_authorities_users foreign key(username) references users(username)
);

create unique index ix_auth_username on authorities (username,authority);


7.部署和配置的要點說明

這是一個Spring Security的資料庫認證例項,要注意以下幾點:
（1）請自行加入Spring必須的包,Spring security的包和MySQL的驅動包,當然你也可以換成其他的資料庫,但是你要相應的修改spring-common.xml中的dataSource部分
（2）資料庫中的兩個表users,authorites必須完全按照指令碼所示來定義,也就是說表的名字不能修改.
（3）users表必須包含username,password,enabled欄位,這三個欄位是絕對不能少的,也不能修改型別.另外enabled一定要為1才能登入
（4）authorities表必須包含username欄位,這個欄位引用users的username作為外來鍵,authority欄位就是角色的名字,角色名字必須滿足ROLE_XXX的格式(例如:ROLE_ADMIN,ROLE_USER,ROLE_MAMAGER)
（5）如果一個使用者有多個角色,不要將多個角色放在一起用逗號隔開.而是每個角色定義一條記錄(例如:abu有ROLE_ADMIN,ROLE_USER兩個角色,那麼應該定義兩條記錄: 一條為abu, ROLE_USER,另一條為abu, ROLE_ADMIN.而不是隻有一條:abu, ROLE_ADMIN,ROLE_USER)
（6）你可以給authorities表新增一個id欄位作為主鍵.

相關推薦

Spring安全許可權管理（Spring Security的配置使用）

1.Spring Security簡要介紹Spring Security以前叫做acegi，是後來才成為Spring的一個子專案，也是目前最為流行的一個安全許可權管理框架，它與Spring緊密結合在一起。Spring Security關注的重點是在企業應用安全層為您提供服務，

spring boot啟動原理（包含自動配置）解析

轉自：https://www.cnblogs.com/xiaoxi/p/7999885.html 我們開發任何一個Spring Boot專案，都會用到如下的啟動類 1 @SpringBootApplication 2 public class Application { 3 publ

許可權管理（資料庫程式碼編寫）

--許可權表(選單表) create table Premisson_Func (     Id int primary key identity(1,1),     Name nvarchar(128), ---選單名     url nvarchar(216), ---

ABP module-zero +AdminLTE+Bootstrap Table+jQuery許可權管理系統第十三節--RBAC模式及ABP許可權管理（附贈福利）

角色訪問控制（RBAC） 角色訪問控制（RBAC）應該是目前用得最多也是關注最多的許可權管理模型了。 許可權（Permission）與角色（Role）相關聯，使用者（User）通過成為適當角色的成員而得到這些角色的許可權。這就極大地簡化了許可權的管理。 RBAC引入了角色（Role）概念，目的應該是解耦了P

許可權管理之Spring Security（一）

本文只是我對security的一些簡單看法，如有錯誤，敬請指正。 從最簡單的demo說起 一個最簡單的springboot+security的demo到底可以簡單到什麼程度？請看以下程式碼： null   如果說maven引入jar包不算程式碼的話，那麼最簡單的啟用

8.Spring整合Hibernate_2_聲明式的事務管理（Annotation的方式）

之一 為什麽 runtime span nal not 方法 int action 聲明式的事務管理（AOP的主要用途之一） （Annotation的方式） 　　1.加入annotation.xsd 　　2.加入txManager bean 　　3.<tx:annot

Spring的bean管理（註解）——2017.08.26

logs 名稱 osi println wire scope system name 註入屬性 1 註解是什麽？代碼裏面的特殊標記，使用註解可以完成功能 註解寫法：@註解名稱（屬性名稱=屬性值） 註解的地方:類上面，方法上面和屬性上面 //類對象上創建對象 @Com

spring的bean管理（註解方式）

elasticsearch1.Spring的Bean管理的中常用的註解@Component:組件.(作用在類上)public interface UserDao { public void sayHello(); } @Component(value="userDao")

spring-AOP+自定義註解實現日誌管理（註解方式實現）

一、場景 後臺管理系統中，管理員作業系統時生成日誌儲存在資料庫中。 二、實現 1、jar包依賴 <!-- https://mvnrepository.com/artifact/org.springframework/spring-aop --> <dependency&

Spring的IoC和DI的實現（XML檔案配置）

一.簡介 IoC和DI好處 Spring的依賴注入和控制反轉的功能是Spring很重要的一部分，通過這兩個功能可以對系統進行解耦，也不需要瑣碎的控制被依賴物件的宣告週期； 實現步驟 IoC和DI的核心是通過Spring容器來管理bean，控制bean的宣告週期，並提供給依賴

Spring第一天：Spring的概述、SpringIOC入門（XML）、Spring的Bean管理、Spring屬性注入

以前也學習過Spring框架，不過好久沒用，當時學完也沒做什麼總結，都忘的差不多了，今天再從頭開始學習一遍。無論是SSH還是SSM都離不開Spring，所以Spring還是很重要的，對於一個想要從事JavaEE開發的人，一定要好好學習Spring框架。Spring的學習計劃如下： 第一

Spring的Bean管理（XML方式）&屬性注入

1、Spring對Bean的例項化方式 Bean已經都交給Spring進行管理，Spring在建立這些類的時候，有三種方式 1.1 無參構造方法的方式（預設） 編寫類 public class Bean1{ public void Bean1(){ super();

8.spring：事務管理（上）:Spring的資料庫程式設計、程式設計式事務管理

Spring的資料庫程式設計  Spring框架提供了JDBC模板模式------>JdbcTemplate 簡化了開發，在開發中並不經常是使用 實際開發更多使用的是Hibernate和MyBatis 1).Spring JDBCp配置 如果使用Spring JDBC操作資料庫，要有

9.spring：事務管理（下）:宣告式事務管理

宣告式事務管理  sprin的宣告式事務是管理AOP技術實現的事務管理，其本質是是對方法前後進行攔截，然後 在目標方法開始之前建立或者加入一個事務，在執行完成目標方法之後根據執行情況提交或者回滾事務。   宣告式事務管理優點：不需要通過程式設計的方式管理事務，因而不需要在業務邏輯程

spring之AOP操作（基於aspectJ實現）--配置檔案和註解兩種方式實現

AOP概念 　　1 aop：面向切面（方面）程式設計，擴充套件功能不修改原始碼實現   　　2  AOP採取橫向抽取機制，取代了傳統縱向繼承體系重複性程式碼   　　3 aop底層使用動態代理實現 　　　　（1）第一種情況，有介面情況，使用動態代理建立介面實現類代理物

【Spring筆記三】Spring中Bean（XML方式配置）

我們可以把 Spring 看作一個大型的工廠，而 Spring 容器中的 Bean 就是該工廠的產品。要想使用這個工廠生產和管理Bean，就需要在配置檔案中告訴它需要哪些 Bean，以及需要使用何種方法將這些 Bean 裝配到一起。 首先，分清楚 JavaBean 和 

Spring之事務管理（宣告式）

一、XML方式的宣告式事務管理 1.配置事務管理器 <beans> <!-- 引入屬性檔案--> <context:property-placeholder location="classpath:jdbc.properties"/> <!

Spring的bean管理（xml方式）之Bean例項化的方式

1 在spring裡面通過配置檔案建立物件 2 bean例項化三種方式實現 第一種、使用類的無引數構造建立（重點） （1） xml 檔案 bean1.xml <?xml version="1.0" encoding="UTF-8"?><beans xm

Shiro在Spring的會話管理（session）

會話管理 在shiro裡面可以發現所有的使用者的會話資訊都會由Shiro來進行控制，那麼也就是說只要是與使用者有關的一切的處理資訊操作都可以通過Shiro取得，實際上可以取得的資訊可以有使用者名稱、主機名稱等等，這所有的資訊都可以通過Subject介面取得。

Spring事務管理（詳解+例項）

寫這篇部落格之前我首先讀了《Spring in action》，之後在網上看了一些關於Spring事務管理的文章，感覺都沒有講全，這裡就將書上的和網上關於事務的知識總結一下，參考的文章如下： 1 初步理解 理解事務之前，先講一個你日常生活中最常乾的事：取錢