亚洲AV无码精品色午夜在线观看,亚洲国产理论片在线播放,亚洲色偷偷综合亚洲AV伊人蜜桃

Acegi Security -- Spring下最優(yōu)秀的安全系統(tǒng)

一 Acegi安全系統(tǒng)介紹

Acegi是Spring Framework 下最成熟的安全系統(tǒng)，它提供了強(qiáng)大靈活的企業(yè)級安全服務(wù)，如完善的認(rèn)證和授權(quán)機(jī)制，Http資源訪問控制，Method 調(diào)用訪問控制，Access Control List (ACL) 基于對象實(shí)例的訪問控制，Yale Central Authentication Service (CAS) 耶魯單點(diǎn)登陸，X509 認(rèn)證，當(dāng)前所有流行容器的認(rèn)證適配器，Channel Security頻道安全管理等功能。

1.1 網(wǎng)站資源

官方網(wǎng)站     http://acegisecurity.sourceforge.net
論壇            http://forum.springframework.org/forumdisplay.php?f=33
Jira              http://opensource.atlassian.com/projects/spring/browse/SEC

1.2 多方面的安全控制粒度

URL 資源訪問控制
http://apps:8080/index.htm -> for public
http://apps:8080/user.htm -> for authorized user
方法調(diào)用訪問控制
public void getData() -> all user
public void modifyData() -> supervisor only
對象實(shí)例保護(hù)
order.getValue() < $100 -> all user
order.getValue() > $100 -> supervisor only

1.3 非入侵式安全架構(gòu)

基于Servlet Filter和Spring aop, 使商業(yè)邏輯和安全邏輯分開，結(jié)構(gòu)更清晰
使用Spring 來代理對象，能方便地保護(hù)方法調(diào)用

1.4 其它安全架構(gòu)

Acegi只是安全框架之一，其實(shí)還存在其它優(yōu)秀的安全框架可供選擇：

JAAS ：http://java.sun.com/products/jaas/
Seraph: http://opensource.atlassian.com/seraph/
jSai - Servlet Security : http://oss.ipov.org/jsai/
Gabriel : http://gabriel.codehaus.org/
JOSSO : http://www.josso.org/
Kasai: http://www.manentiasoftware.com/kasai/goToHome.action
jPAM : http://jpam.sourceforge.net/
OpenSAML : http://www.opensaml.org/

二 Acegi安全系統(tǒng)的配置

Acegi 的配置看起來非常復(fù)雜,但事實(shí)上在實(shí)際項(xiàng)目的安全應(yīng)用中我們并不需要那么多功能,清楚的了解Acegi配置中各項(xiàng)的功能，有助于我們靈活的運(yùn)用Acegi于實(shí)踐中。

2.1 在Web.xml中的配置

1) FilterToBeanProxy
　　Acegi通過實(shí)現(xiàn)了Filter接口的FilterToBeanProxy提供一種特殊的使用Servlet Filter的方式，它委托Spring中的Bean -- FilterChainProxy來完成過濾功能，這好處是簡化了web.xml的配置，并且充分利用了Spring IOC的優(yōu)勢。FilterChainProxy包含了處理認(rèn)證過程的filter列表，每個(gè)filter都有各自的功能。

    <filter>
        <filter-name>Acegi Filter Chain Proxy</filter-name>
        <filter-class>org.acegisecurity.util.FilterToBeanProxy</filter-class>
        <init-param>
            <param-name>targetClass</param-name>
            <param-value>org.acegisecurity.util.FilterChainProxy</param-value>
        </init-param>
    </filter>

2) filter-mapping
　　<filter-mapping>限定了FilterToBeanProxy的URL匹配模式,只有*.do和*.jsp和/j_acegi_security_check 的請求才會受到權(quán)限控制，對javascript,css等不限制。

   <filter-mapping>
      <filter-name>Acegi Filter Chain Proxy</filter-name>
      <url-pattern>*.do</url-pattern>
    </filter-mapping>
    
    <filter-mapping>
      <filter-name>Acegi Filter Chain Proxy</filter-name>
      <url-pattern>*.jsp</url-pattern>
    </filter-mapping>
    
    <filter-mapping>
      <filter-name>Acegi Filter Chain Proxy</filter-name>
      <url-pattern>/j_acegi_security_check</url-pattern>
    </filter-mapping>

3) HttpSessionEventPublisher
　　<listener>的HttpSessionEventPublisher用于發(fā)布HttpSessionApplicationEvents和HttpSessionDestroyedEvent事件給spring的applicationcontext。

    <listener>
        <listener-class>org.acegisecurity.ui.session.HttpSessionEventPublisher</listener-class>
    </listener>

2.2 在applicationContext-acegi-security.xml中

2.2.1 FILTER CHAIN

　　FilterChainProxy會按順序來調(diào)用這些filter,使這些filter能享用Spring ioc的功能, CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON定義了url比較前先轉(zhuǎn)為小寫， PATTERN_TYPE_APACHE_ANT定義了使用Apache ant的匹配模式

    <bean id="filterChainProxy" class="org.acegisecurity.util.FilterChainProxy">
        <property name="filterInvocationDefinitionSource">
            <value>
                CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
                PATTERN_TYPE_APACHE_ANT
               /**=httpSessionContextIntegrationFilter,authenticationProcessingFilter,
basicProcessingFilter,rememberMeProcessingFilter,anonymousProcessingFilter,
 exceptionTranslationFilter,filterInvocationInterceptor
            </value>
        </property>
    </bean>

2.2.2 基礎(chǔ)認(rèn)證

1) authenticationManager
　　起到認(rèn)證管理的作用，它將驗(yàn)證的功能委托給多個(gè)Provider，并通過遍歷Providers, 以保證獲取不同來源的身份認(rèn)證，若某個(gè)Provider能成功確認(rèn)當(dāng)前用戶的身份，authenticate()方法會返回一個(gè)完整的包含用戶授權(quán)信息的Authentication對象，否則會拋出一個(gè)AuthenticationException。
Acegi提供了不同的AuthenticationProvider的實(shí)現(xiàn),如：
        DaoAuthenticationProvider 從數(shù)據(jù)庫中讀取用戶信息驗(yàn)證身份
        AnonymousAuthenticationProvider 匿名用戶身份認(rèn)證
        RememberMeAuthenticationProvider 已存cookie中的用戶信息身份認(rèn)證
        AuthByAdapterProvider 使用容器的適配器驗(yàn)證身份
        CasAuthenticationProvider 根據(jù)Yale中心認(rèn)證服務(wù)驗(yàn)證身份, 用于實(shí)現(xiàn)單點(diǎn)登陸
        JaasAuthenticationProvider 從JASS登陸配置中獲取用戶信息驗(yàn)證身份
        RemoteAuthenticationProvider 根據(jù)遠(yuǎn)程服務(wù)驗(yàn)證用戶身份
        RunAsImplAuthenticationProvider 對身份已被管理器替換的用戶進(jìn)行驗(yàn)證
        X509AuthenticationProvider 從X509認(rèn)證中獲取用戶信息驗(yàn)證身份
        TestingAuthenticationProvider 單元測試時(shí)使用

每個(gè)認(rèn)證者會對自己指定的證明信息進(jìn)行認(rèn)證，如DaoAuthenticationProvider僅對UsernamePasswordAuthenticationToken這個(gè)證明信息進(jìn)行認(rèn)證。

<bean id="authenticationManager" class="org.acegisecurity.providers.ProviderManager">
        <property name="providers">
            <list>
                <ref local="daoAuthenticationProvider"/>
                <ref local="anonymousAuthenticationProvider"/>
                <ref local="rememberMeAuthenticationProvider"/>
            </list>
        </property>
</bean>

2) daoAuthenticationProvider
　　進(jìn)行簡單的基于數(shù)據(jù)庫的身份驗(yàn)證。DaoAuthenticationProvider獲取數(shù)據(jù)庫中的賬號密碼并進(jìn)行匹配，若成功則在通過用戶身份的同時(shí)返回一個(gè)包含授權(quán)信息的Authentication對象，否則身份驗(yàn)證失敗，拋出一個(gè)AuthenticatiionException。

    <bean id="daoAuthenticationProvider" class="org.acegisecurity.providers.dao.DaoAuthenticationProvider">
        <property name="userDetailsService" ref="jdbcDaoImpl"/>
        <property name="userCache" ref="userCache"/>
        <property name="passwordEncoder" ref="passwordEncoder"/>
   </bean>

3) passwordEncoder
　　使用加密器對用戶輸入的明文進(jìn)行加密。Acegi提供了三種加密器:
PlaintextPasswordEncoder—默認(rèn)，不加密，返回明文.
ShaPasswordEncoder—哈希算法(SHA)加密
Md5PasswordEncoder—消息摘要(MD5)加密

<bean id="passwordEncoder" class="org.acegisecurity.providers.encoding.Md5PasswordEncoder"/>

4) jdbcDaoImpl
　　用于在數(shù)據(jù)中獲取用戶信息。 acegi提供了用戶及授權(quán)的表結(jié)構(gòu)，但是您也可以自己來實(shí)現(xiàn)。通過usersByUsernameQuery這個(gè)SQL得到你的(用戶ID,密碼,狀態(tài)信息);通過authoritiesByUsernameQuery這個(gè)SQL得到你的(用戶ID,授權(quán)信息)

 <bean id="jdbcDaoImpl" class="org.acegisecurity.userdetails.jdbc.JdbcDaoImpl">
        <property name="dataSource" ref="dataSource"/>
        <property name="usersByUsernameQuery">
            <value>select loginid,passwd,1 from users where loginid = ?</value>
        </property>
        <property name="authoritiesByUsernameQuery">
            <value>select u.loginid,p.name from users u,roles r,permissions p,user_role ur,role_permis rp where u.id=ur.user_id and r.id=ur.role_id and p.id=rp.permis_id and
                r.id=rp.role_id and p.status='1' and u.loginid=?</value>
        </property>
</bean>

5) userCache　& resourceCache
　　緩存用戶和資源相對應(yīng)的權(quán)限信息。每當(dāng)請求一個(gè)受保護(hù)資源時(shí)，daoAuthenticationProvider就會被調(diào)用以獲取用戶授權(quán)信息。如果每次都從數(shù)據(jù)庫獲取的話，那代價(jià)很高，對于不常改變的用戶和資源信息來說，最好是把相關(guān)授權(quán)信息緩存起來。(詳見 2.6.3 資源權(quán)限定義擴(kuò)展 )
userCache提供了兩種實(shí)現(xiàn): NullUserCache和EhCacheBasedUserCache, NullUserCache實(shí)際上就是不進(jìn)行任何緩存，EhCacheBasedUserCache是使用Ehcache來實(shí)現(xiàn)緩功能。

    <bean id="userCacheBackend" class="org.springframework.cache.ehcache.EhCacheFactoryBean">
        <property name="cacheManager" ref="cacheManager"/>
        <property name="cacheName" value="userCache"/>
    </bean>
    <bean id="userCache" class="org.acegisecurity.providers.dao.cache.EhCacheBasedUserCache" autowire="byName">
        <property name="cache" ref="userCacheBackend"/>
      </bean>
    <bean id="resourceCacheBackend" class="org.springframework.cache.ehcache.EhCacheFactoryBean">
        <property name="cacheManager" ref="cacheManager"/>
        <property name="cacheName" value="resourceCache"/>
    </bean>
    <bean id="resourceCache" class="org.springside.modules.security.service.acegi.cache.ResourceCache" autowire="byName">
        <property name="cache" ref="resourceCacheBackend"/>
    </bean>

6) basicProcessingFilter
　　用于處理HTTP頭的認(rèn)證信息，如從Spring遠(yuǎn)程協(xié)議(如Hessian和Burlap)或普通的瀏覽器如IE,Navigator的HTTP頭中獲取用戶信息，將他們轉(zhuǎn)交給通過authenticationManager屬性裝配的認(rèn)證管理器。如果認(rèn)證成功，會將一個(gè)Authentication對象放到會話中，否則，如果認(rèn)證失敗，會將控制轉(zhuǎn)交給認(rèn)證入口點(diǎn)(通過authenticationEntryPoint屬性裝配)

    <bean id="basicProcessingFilter" class="org.acegisecurity.ui.basicauth.BasicProcessingFilter">
        <property name="authenticationManager" ref="authenticationManager"/>
        <property name="authenticationEntryPoint" ref="basicProcessingFilterEntryPoint"/>
    </bean>

7) basicProcessingFilterEntryPoint
　　通過向?yàn)g覽器發(fā)送一個(gè)HTTP401(未授權(quán))消息，提示用戶登錄。
處理基于HTTP的授權(quán)過程，在當(dāng)驗(yàn)證過程出現(xiàn)異常后的"去向"，通常實(shí)現(xiàn)轉(zhuǎn)向、在response里加入error信息等功能。

 <bean id="basicProcessingFilterEntryPoint" class="org.acegisecurity.ui.basicauth.BasicProcessingFilterEntryPoint">
        <property name="realmName" value="SpringSide Realm"/>
</bean>

8) authenticationProcessingFilterEntryPoint
　　當(dāng)拋出AccessDeniedException時(shí)，將用戶重定向到登錄界面。屬性loginFormUrl配置了一個(gè)登錄表單的URL,當(dāng)需要用戶登錄時(shí)，authenticationProcessingFilterEntryPoint會將用戶重定向到該URL

 <bean id="authenticationProcessingFilterEntryPoint" class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilterEntryPoint">
        <property name="loginFormUrl">
            <value>/security/login.jsp</value>
        </property>
        <property name="forceHttps" value="false"/>
</bean>

2.2.3 HTTP安全請求

1) httpSessionContextIntegrationFilter
　　每次request前 HttpSessionContextIntegrationFilter從Session中獲取Authentication對象，在request完后, 又把Authentication對象保存到Session中供下次request使用,此filter必須其他Acegi filter前使用，使之能跨越多個(gè)請求。

<bean id="httpSessionContextIntegrationFilter" class="org.acegisecurity.context.HttpSessionContextIntegrationFilter"></bean>
    <bean id="httpRequestAccessDecisionManager" class="org.acegisecurity.vote.AffirmativeBased">
        <property name="allowIfAllAbstainDecisions" value="false"/>
        <property name="decisionVoters">
            <list>
                <ref bean="roleVoter"/>
            </list>
        </property>
</bean>

2) httpRequestAccessDecisionManager
　　經(jīng)過投票機(jī)制來決定是否可以訪問某一資源(URL或方法)。allowIfAllAbstainDecisions為false時(shí)如果有一個(gè)或以上的decisionVoters投票通過,則授權(quán)通過。可選的決策機(jī)制有ConsensusBased和UnanimousBased

    <bean id="httpRequestAccessDecisionManager" class="org.acegisecurity.vote.AffirmativeBased">
        <property name="allowIfAllAbstainDecisions" value="false"/>
        <property name="decisionVoters">
            <list>
                <ref bean="roleVoter"/>
            </list>
        </property>
    </bean>

3) roleVoter
　　必須是以rolePrefix設(shè)定的value開頭的權(quán)限才能進(jìn)行投票,如AUTH_ , ROLE_

    <bean id="roleVoter" class="org.acegisecurity.vote.RoleVoter">
        <property name="rolePrefix" value="AUTH_"/>
   </bean>

4）exceptionTranslationFilter
　　異常轉(zhuǎn)換過濾器，主要是處理AccessDeniedException和AuthenticationException，將給每個(gè)異常找到合適的"去向"

   <bean id="exceptionTranslationFilter" class="org.acegisecurity.ui.ExceptionTranslationFilter">
        <property name="authenticationEntryPoint" ref="authenticationProcessingFilterEntryPoint"/>
    </bean>

5) authenticationProcessingFilter
　　和servlet spec差不多,處理登陸請求.當(dāng)身份驗(yàn)證成功時(shí)，AuthenticationProcessingFilter會在會話中放置一個(gè)Authentication對象，并且重定向到登錄成功頁面
         authenticationFailureUrl定義登陸失敗時(shí)轉(zhuǎn)向的頁面
         defaultTargetUrl定義登陸成功時(shí)轉(zhuǎn)向的頁面
         filterProcessesUrl定義登陸請求的頁面
         rememberMeServices用于在驗(yàn)證成功后添加cookie信息

    <bean id="authenticationProcessingFilter" class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilter">
        <property name="authenticationManager" ref="authenticationManager"/>
        <property name="authenticationFailureUrl">
            <value>/security/login.jsp?login_error=1</value>
        </property>
        <property name="defaultTargetUrl">
            <value>/admin/index.jsp</value>
        </property>
        <property name="filterProcessesUrl">
            <value>/j_acegi_security_check</value>
        </property>
        <property name="rememberMeServices" ref="rememberMeServices"/>
    </bean>

6) filterInvocationInterceptor
　　在執(zhí)行轉(zhuǎn)向url前檢查objectDefinitionSource中設(shè)定的用戶權(quán)限信息。首先，objectDefinitionSource中定義了訪問URL需要的屬性信息(這里的屬性信息僅僅是標(biāo)志，告訴accessDecisionManager要用哪些voter來投票)。然后，authenticationManager掉用自己的provider來對用戶的認(rèn)證信息進(jìn)行校驗(yàn)。最后，有投票者根據(jù)用戶持有認(rèn)證和訪問url需要的屬性，調(diào)用自己的voter來投票，決定是否允許訪問。

    <bean id="filterInvocationInterceptor" class="org.acegisecurity.intercept.web.FilterSecurityInterceptor">
        <property name="authenticationManager" ref="authenticationManager"/>
        <property name="accessDecisionManager" ref="httpRequestAccessDecisionManager"/>
        <property name="objectDefinitionSource" ref="filterDefinitionSource"/>
    </bean>

7) filterDefinitionSource (詳見 2.6.3 資源權(quán)限定義擴(kuò)展)
　　自定義DBFilterInvocationDefinitionSource從數(shù)據(jù)庫和cache中讀取保護(hù)資源及其需要的訪問權(quán)限信息

<bean id="filterDefinitionSource" class="org.springside.modules.security.service.acegi.DBFilterInvocationDefinitionSource">
        <property name="convertUrlToLowercaseBeforeComparison" value="true"/>
        <property name="useAntPath" value="true"/>
        <property name="acegiCacheManager" ref="acegiCacheManager"/>
</bean>

2.2.4 方法調(diào)用安全控制

(詳見 2.6.3 資源權(quán)限定義擴(kuò)展)

1) methodSecurityInterceptor
　　在執(zhí)行方法前進(jìn)行攔截，檢查用戶權(quán)限信息
2) methodDefinitionSource
　　自定義MethodDefinitionSource從cache中讀取權(quán)限

   <bean id="methodSecurityInterceptor" class="org.acegisecurity.intercept.method.aopalliance.MethodSecurityInterceptor">
        <property name="authenticationManager" ref="authenticationManager"/>
        <property name="accessDecisionManager" ref="httpRequestAccessDecisionManager"/>
        <property name="objectDefinitionSource" ref="methodDefinitionSource"/>
    </bean>
    <bean id="methodDefinitionSource" class="org.springside.modules.security.service.acegi.DBMethodDefinitionSource">
        <property name="acegiCacheManager" ref="acegiCacheManager"/>
    </bean>

2.3 Jcaptcha驗(yàn)證碼

采用 http://jcaptcha.sourceforge.net 作為通用的驗(yàn)證碼方案，請參考SpringSide中的例子，或網(wǎng)上的：
http://www.coachthrasher.com/page/blog?entry=jcaptcha_with_appfuse。

差沙在此過程中又發(fā)現(xiàn)acegi logout filter的錯(cuò)誤，進(jìn)行了修正。

另外它默認(rèn)提供的圖片比較難認(rèn)，我們custom了一個(gè)美觀一點(diǎn)的版本。

三 Acegi安全系統(tǒng)擴(kuò)展

相信side對Acegi的擴(kuò)展會給你耳目一新的感覺,提供完整的擴(kuò)展功能,管理界面,中文注釋和靠近企業(yè)的安全策略。side只對Acegi不符合企業(yè)應(yīng)用需要的功能進(jìn)行擴(kuò)展,盡量不改動其余部分來實(shí)現(xiàn)全套權(quán)限管理功能,以求能更好地適應(yīng)Acegi升級。

3.1 基于角色的權(quán)限控制(RBAC)

Acegi 自帶的 sample 表設(shè)計(jì)很簡單: users表{username,password,enabled} authorities表{username,authority},這樣簡單的設(shè)計(jì)無法適應(yīng)復(fù)雜的權(quán)限需求,故SpringSide選用RBAC模型對權(quán)限控制數(shù)據(jù)庫表進(jìn)行擴(kuò)展。 RBAC引入了ROLE的概念,使User(用戶)和Permission(權(quán)限)分離,一個(gè)用戶擁有多個(gè)角色,一個(gè)角色擁有有多個(gè)相應(yīng)的權(quán)限,從而減少了權(quán)限管理的復(fù)雜度,可更靈活地支持安全策略。

同時(shí),我們也引入了resource(資源)的概念,一個(gè)資源對應(yīng)多個(gè)權(quán)限，資源分為ACL,URL,和FUNTION三種。注意，URL和FUNTION的權(quán)限命名需要以AUTH_開頭才會有資格參加投票, 同樣的ACL權(quán)限命名需要ACL_開頭。

3.2 管理和使用EhCache

3.2.1 設(shè)立緩存

在SpringSide里的 Acegi 擴(kuò)展使用 EhCache 就作為一種緩存解決方案,以緩存用戶和資源的信息和相對應(yīng)的權(quán)限信息。

首先需要一個(gè)在classpath的 ehcache.xml 文件，用于配置 EhCache。

<ehcache>
       <defaultCache
            maxElementsInMemory="10000"
            eternal="false"
            overflowToDisk="true"
            timeToIdleSeconds="0"
            timeToLiveSeconds="0"
            diskPersistent="false"
            diskExpiryThreadIntervalSeconds= "120"/> 
    <!-- acegi cache-->
    <cache name="userCache"
           maxElementsInMemory="10000"
           eternal="true"
           overflowToDisk= "true"/>
    <!-- acegi cache-->   
    <cache name="resourceCache"
           maxElementsInMemory="10000"
           eternal="true"
           overflowToDisk="true"/>
</ehcache>

maxElementsInMemory設(shè)定了允許在Cache中存放的數(shù)據(jù)數(shù)目，eternal設(shè)定Cache是否會過期，overflowToDisk設(shè)定內(nèi)存不足的時(shí)候緩存到硬盤，timeToIdleSeconds和timeToLiveSeconds設(shè)定緩存游離時(shí)間和生存時(shí)間，diskExpiryThreadIntervalSeconds設(shè)定緩存在硬盤上的生存時(shí)間，注意當(dāng)eternal="true"時(shí)，timeToIdleSeconds，timeToLiveSeconds和diskExpiryThreadIntervalSeconds都是無效的。

<defaultCache>是除制定的Cache外其余所有Cache的設(shè)置，針對Acegi 的情況, 專門設(shè)置了userCache和resourceCache，都設(shè)為永不過期。在applicationContext-acegi-security.xml中相應(yīng)的調(diào)用是

<bean id="userCacheBackend" class="org.springframework.cache.ehcache.EhCacheFactoryBean">
        <property name="cacheManager" ref="cacheManager"/>
        <property name="cacheName" value="  userCache"/>
    </bean>
    <bean id="userCache" class="org.acegisecurity.providers.dao.cache.EhCacheBasedUserCache" autowire="byName">
        <property name="cache" ref="userCacheBackend"/>
    </bean>
    <bean id="resourceCacheBackend" class="org.springframework.cache.ehcache.EhCacheFactoryBean">
        <property name="cacheManager" ref="cacheManager"/>
        <property name="cacheName" value="  resourceCache"/>
    </bean>
    <bean id="resourceCache" class="org.springside.modules.security.service.acegi.cache.ResourceCache" autowire="byName">
        <property name="cache" ref="resourceCacheBackend"/>
    </bean>
<bean id="cacheManager" class="org.springframework.cache.ehcache.EhCacheManagerFactoryBean"/>

"cacheName" 就是設(shè)定在ehcache.xml 中相應(yīng)Cache的名稱。
userCache使用的是Acegi 的EhCacheBasedUserCache(實(shí)現(xiàn)了UserCache接口), resourceCache是SpringSide的擴(kuò)展類
public interface UserCache   {
    public UserDetails getUserFromCache   (String username);
    public void putUserInCache   (UserDetails user);
    public void removeUserFromCache   (String username);
}
public class ResourceCache   {
    public ResourceDetails getAuthorityFromCache   (String resString) {...   }
    public void putAuthorityInCache   (ResourceDetails resourceDetails) {...  }
    public void removeAuthorityFromCache   (String resString) {... }
    public List getUrlResStrings() {... }
    public List getFunctions() {.. }
}
UserCache 就是通過EhCache對UserDetails 進(jìn)行緩存管理, 而ResourceCache 是對ResourceDetails 類進(jìn)行緩存管理
public interface UserDetails   extends Serializable {
    public boolean isAccountNonExpired();
    public boolean isAccountNonLocked();
    public GrantedAuthority[] getAuthorities();
    public boolean isCredentialsNonExpired();
    public boolean isEnabled();
    public String getPassword();
    public String getUsername();
}
public interface ResourceDetails   extends Serializable {
    public String getResString();
    public String getResType();
    public GrantedAuthority[] getAuthorities();
}
UserDetails 包含用戶信息和相應(yīng)的權(quán)限，ResourceDetails 包含資源信息和相應(yīng)的權(quán)限。
public interface GrantedAuthority     {
    public String getAuthority   ();
}
     GrantedAuthority 就是權(quán)限信息，在Acegi 的 sample 里GrantedAuthority 的信息如ROLE_USER, ROLE_SUPERVISOR, ACL_CONTACT_DELETE, ACL_CONTACT_ADMIN等等，網(wǎng)上也有很多例子把角色作為GrantedAuthority ，但事實(shí)上看看ACL 就知道， Acegi本身根本就沒有角色這個(gè)概念，GrantedAuthority 包含的信息應(yīng)該是權(quán)限，對于非ACL的權(quán)限用 AUTH_ 開頭更為合理, 如SpringSide里的 AUTH_ADMIN_LOGIN, AUTH_BOOK_MANAGE 等等。 
3.2.2 管理緩存
     使用AcegiCacheManager對userCache和resourceCache進(jìn)行統(tǒng)一緩存管理。當(dāng)在后臺對用戶信息進(jìn)行修改或賦權(quán)的時(shí)候, 在更新數(shù)據(jù)庫同時(shí)就會調(diào)用acegiCacheManager相應(yīng)方法, 從數(shù)據(jù)庫中讀取數(shù)據(jù)并替換cache中相應(yīng)部分,使cache與數(shù)據(jù)庫同步。
public class AcegiCacheManager extends BaseService {
    private ResourceCache resourceCache   ;
    private UserCache userCache   ;
    /**
     * 修改User時(shí)更改userCache  
     */ 
    public void modifyUserInCache   (User user, String orgUsername) {...    }
    /**
     * 修改Resource時(shí)更改resourceCache  
     */ 
    public void modifyResourceInCache   (Resource resource, String orgResourcename) {...    }
    /**
     *   修改權(quán)限時(shí)同時(shí)修改userCache和resourceCache
     */ 
    public void modifyPermiInCache   (Permission permi, String orgPerminame) {...  }
    /**
     * User授予角色時(shí)更改userCache  
     */
    public void authRoleInCache   (User user) {...    }
    /**
     * Role授予權(quán)限時(shí)更改userCache和resourceCache  
     */ 
    public void authPermissionInCache   (Role role) {...  }
    /**
     * Permissioni授予資源時(shí)更改resourceCache  
     */ 
    public void authResourceInCache   (Permission permi) {...  }
    /**
     *   初始化userCache
     */ 
    public void initUserCache   () {...  }
    /**
     *   初始化resourceCache
     */ 
    public void initResourceCache   () {... }
    /**
     *  獲取所有的url資源
     */ 
    public List getUrlResStrings   () {...  }
    /**
     * 獲取所有的Funtion資源  
     */ 
    public List getFunctions   () {...  }
    /**
     * 根據(jù)資源串獲取資源  
     */ 
    public ResourceDetails getAuthorityFromCache   (String resString) {...  }
    
 ......


}
 
3.3 資源權(quán)限定義擴(kuò)展
     Acegi給出的sample里,資源權(quán)限對照關(guān)系是配置在xml中的,試想一下如果你的企業(yè)安全應(yīng)用有500個(gè)用戶,100個(gè)角色權(quán)限的時(shí)候,維護(hù)這個(gè)xml將是個(gè)繁重?zé)o比的工作,如何動態(tài)更改用戶權(quán)限更是個(gè)頭痛的問題。
   <bean id="contactManagerSecurity" class="org.acegisecurity.intercept.method.aopalliance.MethodSecurityInterceptor">
      <property name="authenticationManager"><ref bean="authenticationManager"/></property>
      <property name="accessDecisionManager"><ref local="businessAccessDecisionManager"/></property>
      <property name="afterInvocationManager"><ref local="afterInvocationManager"/></property>
      <property name="objectDefinitionSource">
         <value>
            sample.contact.ContactManager.create=ROLE_USER
            sample.contact.ContactManager.getAllRecipients=ROLE_USER
            sample.contact.ContactManager.getAll=ROLE_USER,AFTER_ACL_COLLECTION_READ
            sample.contact.ContactManager.getById=ROLE_USER,AFTER_ACL_READ
            sample.contact.ContactManager.delete=ACL_CONTACT_DELETE
            sample.contact.ContactManager.deletePermission=ACL_CONTACT_ADMIN
            sample.contact.ContactManager.addPermission=ACL_CONTACT_ADMIN
         </value>
      </property>
   </bean>
  <bean id="filterInvocationInterceptor" class="org.acegisecurity.intercept.web.FilterSecurityInterceptor">
      <property name="authenticationManager"><ref bean="authenticationManager"/></property>
      <property name="accessDecisionManager"><ref local="httpRequestAccessDecisionManager"/></property>
      <property name="objectDefinitionSource">
         <value>
       CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
       PATTERN_TYPE_APACHE_ANT
       /index.jsp=ROLE_ANONYMOUS,ROLE_USER
       /hello.htm=ROLE_ANONYMOUS,ROLE_USER
       /logoff.jsp=ROLE_ANONYMOUS,ROLE_USER
       /switchuser.jsp=ROLE_SUPERVISOR
       /j_acegi_switch_user=ROLE_SUPERVISOR
       /acegilogin.jsp*=ROLE_ANONYMOUS,ROLE_USER
       /**=ROLE_USER
         </value>
      </property>
   </bean>
 對如此不Pragmatic的做法,SpringSide進(jìn)行了擴(kuò)展, 讓Acegi 能動態(tài)讀取數(shù)據(jù)庫中的權(quán)限資源關(guān)系。
3.3.1 Aop Invocation Authorization
    <bean id="methodSecurityInterceptor" class="org.acegisecurity.intercept.method.aopalliance.MethodSecurityInterceptor">
        <property name="authenticationManager" ref="authenticationManager"/>
        <property name="accessDecisionManager" ref="httpRequestAccessDecisionManager"/>
        <property name="objectDefinitionSource" ref="methodDefinitionSource"/>
    </bean>
    <bean id="methodDefinitionSource" class="org.springside.security.service.acegi.DBMethodDefinitionSource">
        <property name="acegiCacheManager" ref="acegiCacheManager"/>
    </bean>
     研究下Aceig的源碼,ObjectDefinitionSource的實(shí)際作用是返回一個(gè)ConfigAttributeDefinition對象，而Acegi Sample 的方式是用MethodDefinitionSourceEditor把xml中的文本Function資源權(quán)限對應(yīng)關(guān)系信息加載到MethodDefinitionMap ( MethodDefinitionSource 的實(shí)現(xiàn)類 )中, 再組成ConfigAttributeDefinition，而我們的擴(kuò)展目標(biāo)是從緩存中讀取信息來組成ConfigAttributeDefinition。
     MethodSecurityInterceptor是通過調(diào)用AbstractMethodDefinitionSource的lookupAttributes(method)方法獲取ConfigAttributeDefinition。所以我們需要實(shí)現(xiàn)自己的ObjectDefinitionSource，繼承AbstractMethodDefinitionSource并實(shí)現(xiàn)其lookupAttributes方法,從緩存中讀取資源權(quán)限對應(yīng)關(guān)系組成并返回ConfigAttributeDefinition即可。SpringSide中的DBMethodDefinitionSource類的部分實(shí)現(xiàn)如下 :
public class DBMethodDefinitionSource extends AbstractMethodDefinitionSource {
......
    protected ConfigAttributeDefinition lookupAttributes(Method mi) {
        Assert.notNull(mi, "lookupAttrubutes in the DBMethodDefinitionSource is null");
        String methodString = mi.getDeclaringClass().getName() + "." + mi.getName();
        if (!acegiCacheManager.isCacheInitialized()) {
            //初始化Cache
            acegiCacheManager.initResourceCache();
        }
        //獲取所有的function
        List methodStrings = acegiCacheManager.getFunctions();
        Set auths = new HashSet();
        //取權(quán)限的合集
        for (Iterator iter = methodStrings.iterator(); iter.hasNext();) {
            String mappedName = (String) iter.next();
            if (methodString.equals(mappedName)
                    || isMatch(methodString, mappedName)) {
                ResourceDetails resourceDetails = acegiCacheManager.getAuthorityFromCache(mappedName);
                if (resourceDetails == null) {
                    break;
                }
                GrantedAuthority[] authorities = resourceDetails.getAuthorities();
                if (authorities == null || authorities.length == 0) {
                    break;
                }
                auths.addAll(Arrays.asList(authorities));
            }
        }
        if (auths.size() == 0)
            return null;
        ConfigAttributeEditor configAttrEditor = new ConfigAttributeEditor();
        String authoritiesStr = " ";
        for (Iterator iter = auths.iterator(); iter.hasNext();) {
            GrantedAuthority authority = (GrantedAuthority) iter.next();
            authoritiesStr += authority.getAuthority() + ",";
        }
        String authStr = authoritiesStr.substring(0, authoritiesStr.length() - 1);
        configAttrEditor.setAsText(authStr);
       //組裝并返回ConfigAttributeDefinition
        return (ConfigAttributeDefinition) configAttrEditor.getValue();
    }
    ......
}
要注意幾點(diǎn)的是: 
1) 初始化Cache是比較浪費(fèi)資源的，所以SpringSide中除第一次訪問外的Cache的更新是針對性更新。
2) 因?yàn)閙ethod采用了匹配方式(詳見 isMatch() 方法) , 即對于*Book和save*這兩個(gè)資源來說，只要當(dāng)前訪問方法是Book結(jié)尾或以save開頭都算匹配得上，所以應(yīng)該取這些能匹配上的資源的相對應(yīng)的權(quán)限的合集。
3) 使用ConfigAttributeEditor 能更方便地組裝ConfigAttributeDefinition。 
3.3.2 Filter Invocation Authorization
    <bean id="filterInvocationInterceptor" class="org.acegisecurity.intercept.web.FilterSecurityInterceptor">
        <property name="authenticationManager" ref="authenticationManager"/>
        <property name="accessDecisionManager" ref="httpRequestAccessDecisionManager"/>
        <property name="objectDefinitionSource" ref="filterDefinitionSource"/>
    </bean>

    <bean id="filterDefinitionSource" class="org.springside.security.service.acegi.DBFilterInvocationDefinitionSource">
        <property name="convertUrlToLowercaseBeforeComparison" value="true"/>
        <property name="useAntPath" value="true"/>
        <property name="acegiCacheManager" ref="acegiCacheManager"/>
    </bean>
     PathBasedFilterInvocationDefinitionMap和RegExpBasedFilterInvocationDefinitionMap都是 FilterInvocationDefinitionSource的實(shí)現(xiàn)類,當(dāng)PATTERN_TYPE_APACHE_ANT字符串匹配上時(shí)時(shí),FilterInvocationDefinitionSourceEditor 選用PathBasedFilterInvocationDefinitionMap 把xml中的文本URL資源權(quán)限對應(yīng)關(guān)系信息加載。
     FilterSecurityInterceptor通過FilterInvocationDefinitionSource的lookupAttributes(url)方法獲取ConfigAttributeDefinition。 所以，我們可以通過繼承FilterInvocationDefinitionSource的抽象類AbstractFilterInvocationDefinitionSource，并實(shí)現(xiàn)其lookupAttributes方法,從緩存中讀取URL資源權(quán)限對應(yīng)關(guān)系即可。SpringSide的DBFilterInvocationDefinitionSource類部分實(shí)現(xiàn)如下:
public class DBFilterInvocationDefinitionSource extends AbstractFilterInvocationDefinitionSource {

......
    public ConfigAttributeDefinition lookupAttributes(String url) {
        if (!acegiCacheManager.isCacheInitialized()) {
            acegiCacheManager.initResourceCache();
        }

        if (isUseAntPath()) {
            // Strip anything after a question mark symbol, as per SEC-161.
            int firstQuestionMarkIndex = url.lastIndexOf("?");
            if (firstQuestionMarkIndex != -1) {
                url = url.substring(0, firstQuestionMarkIndex);
            }
        }
        List urls = acegiCacheManager.getUrlResStrings();
        //URL資源倒敘排序
        Collections.sort(urls);
        Collections.reverse(urls);
        //是否先全部轉(zhuǎn)為小寫再比較
        if (convertUrlToLowercaseBeforeComparison) {
            url = url.toLowerCase();
        }
        GrantedAuthority[] authorities = new GrantedAuthority[0];
        for (Iterator iterator = urls.iterator(); iterator.hasNext();) {
            String resString = (String) iterator.next();
            boolean matched = false;
              //可選擇使用AntPath和Perl5兩種不同匹配模式   
            if (isUseAntPath()) {
                matched = pathMatcher.match(resString, url);
            } else {
                Pattern compiledPattern;
                Perl5Compiler compiler = new Perl5Compiler();
                try {
                    compiledPattern = compiler.compile(resString,
                            Perl5Compiler.READ_ONLY_MASK);
                } catch (MalformedPatternException mpe) {
                    throw new IllegalArgumentException(
                            "Malformed regular expression: " + resString);
                }
                matched = matcher.matches(url, compiledPattern);
            }
            if (matched) {
                ResourceDetails rd = acegiCacheManager.getAuthorityFromCache(resString);
                authorities = rd.getAuthorities();
                break;
            }
        }
        if (authorities.length > 0) {
            String authoritiesStr = " ";
            for (int i = 0; i < authorities.length; i++) {
                authoritiesStr += authorities[i].getAuthority() + ",";
            }
            String authStr = authoritiesStr.substring(0, authoritiesStr
                    .length() - 1);
            ConfigAttributeEditor configAttrEditor = new ConfigAttributeEditor();
            configAttrEditor.setAsText(authStr);
            return (ConfigAttributeDefinition) configAttrEditor.getValue();
        }
        return null;
    }

......
 }
繼承AbstractFilterInvocationDefinitionSource注意幾點(diǎn)：
1)  需要先把獲取回來的URL資源按倒序派序，以達(dá)到 a/b/c/d.* 在 a/.* 之前的效果(詳見 Acegi sample 的applicationContext-acegi-security.xml 中的filterInvocationInterceptor的注釋)，為的是更具體的URL可以先匹配上，而獲取具體URL的權(quán)限，如a/b/c/d.*權(quán)限AUTH_a, AUTH_b 才可查看,  a/.* 需要權(quán)限AUTH_a 才可查看，則如果當(dāng)前用戶只擁有權(quán)限AUTH_b,則他只可以查看a/b/c/d.jsp 而不能察看a/d.jsp。
2) 基于上面的原因，故第一次匹配上的就是當(dāng)前所需權(quán)限，而不是取權(quán)限的合集。
3) 可以選用AntPath 或 Perl5 的資源匹配方式，感覺AntPath匹配方式基本足夠。
4) Filter 權(quán)限控制比較適合于較粗顆粒度的權(quán)限，如設(shè)定某個(gè)模塊下的頁面是否能訪問等，對于具體某個(gè)操作如增刪修改，是否能執(zhí)行，用Method  Invocation 會更佳些，所以注意兩個(gè)方面一起控制效果更好
 
3.4 授權(quán)操作
     RBAC模型中有不少多對多的關(guān)系，這些關(guān)系都能以一個(gè)中間表的形式來存放，而Hibernate中可以不建這中間表對應(yīng)的hbm.xml , 以資源與權(quán)限的配置為例，如下:
<hibernate-mapping package="org.springside.modules.security.domain">
    <class name="Permission" table="PERMISSIONS" dynamic-insert="true" dynamic-update="true">
        <cache usage="nonstrict-read-write"/>
        <id name="id" column="ID">
            <generator class="native"/>
        </id>
        <property name="name" column="NAME" not-null="true"/>
        <property name="descn" column="DESCN"/>
        <property name="operation" column="OPERATION"/>
        <property name="status" column="STATUS"/>
        <set name="roles" table="ROLE_PERMIS" lazy="true" inverse="true" cascade="save-update" batch-size="5">
            <key>
                <column name="PERMIS_ID" not-null="true"/>
            </key>
            <many-to-many class="Role" column="ROLE_ID" outer-join="auto"/>
        </set>
        <set name="resources" table="PERMIS_RESC" lazy="true" inverse="false" cascade="save-update" batch-size="5">
            <key>
                <column name="PERMIS_ID" not-null="true"/>
            </key>
            <many-to-many class="Resource" column="RESC_ID"/>
        </set>
    </class>
</hibernate-mapping>
<hibernate-mapping package="org.springside.modules.security.domain">
    <class name="Resource" table="RESOURCES" dynamic-insert="true" dynamic-update="true">
        <cache usage="nonstrict-read-write"/>
        <id name="id" column="ID">
            <generator class="native"/>
        </id>
        <property name="name" column="NAME" not-null="true"/>
        <property name="resType" column="RES_TYPE" not-null="true"/>
        <property name="resString" column="RES_STRING" not-null="true"/>
        <property name="descn" column="DESCN"/>
        <set name="permissions" table="PERMIS_RESC" lazy="true" inverse="true" cascade="save-update" batch-size="5">
            <key>
                <column name="RESC_ID" not-null="true"/>
            </key>
            <many-to-many class="Permission" column="PERMIS_ID" outer-join="auto"/>
        </set>
    </class>
</hibernate-mapping>
配置時(shí)注意幾點(diǎn):
1) 因?yàn)槭欠峙淠硞€(gè)權(quán)限的資源，所以權(quán)限是主控方，把inverse設(shè)為false，資源是被控方inverse設(shè)為true
2) cascade是"save-update"，千萬別配成delete
3) 只需要 permission.getResources().add(resource)， permission.getResources()..remove(resource) 即可很方便地完成授權(quán)和取消授權(quán)操作
 
四 Acegi ACL使用
4.1 基本概念
      在google中搜索'acl'會找到很多相關(guān)的介紹，而且涉及的范圍也特別廣泛。ACL是(Access Control List)的縮寫，顧名思義，ACL是‘訪問控制列表’的意思。通俗點(diǎn)說，ACL保存了所有用戶或角色對資源的訪問權(quán)限。最典型的ACL實(shí)現(xiàn)是流行操作系統(tǒng)(window, unix)的文件訪問控制系統(tǒng)，精確定義了某個(gè)用戶或角色對某個(gè)特定文件的讀、寫、執(zhí)行等權(quán)限，更通俗的例子是可以定義某個(gè)管理員只能管一部分的訂單，而另一個(gè)管理員只能管另一部分的。
4.2 Acegi ACL配置
Acegi好早就實(shí)現(xiàn)了ACL（好像是0.5），但是使用起來確實(shí)有點(diǎn)麻煩，所以用的不是太廣泛。這里簡單的說明一下使用方法，希望有更多的朋友來試試。

首先要理解Acegi里面Voter的概念，ACL正是在一個(gè)Voter上擴(kuò)展起來的。現(xiàn)來看一下AclVoter的配置。


    <bean id="aclBeanReadVoter" class="org.acegisecurity.vote.BasicAclEntryVoter">
        <property name="processConfigAttribute">
            <value>ACL_READ</value>
        </property>
        <property name="processDomainObjectClass">
            <value>org.springside.modules.security.acl.domain.AclDomainAware</value>
        </property>
        <property name="aclManager">
            <ref local="aclManager"/>
        </property>
        <property name="requirePermission">
            <list>
                <ref local="org.acegisecurity.acl.basic.SimpleAclEntry.ADMINISTRATION"/>
                <ref local="org.acegisecurity.acl.basic.SimpleAclEntry.READ"/>
            </list>
        </property>
    </bean>

    ACL_READ指的是這個(gè)Voter對哪些SecurityConfig起作用，我們可以把ACL_READ配置在想要攔截的Method上。比方說我們要攔截readOrder這個(gè)方法，以實(shí)現(xiàn)ACL控制，可以這樣配置。
orderManager.readOrder=ACL_READ
    
processDomainObjectClass指出哪些DomainObject是要進(jìn)行ACL校驗(yàn)的。
    
aclManager是一個(gè)比較重要的概念，主要負(fù)責(zé)在權(quán)限列表中根據(jù)用戶和DomainObject取得acl列表。
    
requirePermission指出要進(jìn)行這個(gè)操作必須具備的acl權(quán)限，比方說read操作就必須有ADMINISTRATION或READ兩個(gè)權(quán)限。

其實(shí)整個(gè)過程看下來比較清晰，下面來看一下AclManager如何配置。

    <!-- ========= ACCESS CONTROL LIST LOOKUP MANAGER DEFINITIONS ========= -->

    <bean id="aclManager" class="org.acegisecurity.acl.AclProviderManager">
        <property name="providers">
            <list>
                <ref local="basicAclProvider"/>
            </list>
        </property>
    </bean>

    <bean id="basicAclProvider" class="org.acegisecurity.acl.basic.BasicAclProvider">
        <property name="basicAclDao">
            <ref local="basicAclExtendedDao"/>
        </property>
    </bean>

    <bean id="basicAclExtendedDao" class="org.acegisecurity.acl.basic.jdbc.JdbcExtendedDaoImpl">
        <property name="dataSource">
            <ref bean="dataSource"/>
        </property>
    </bean>

很明顯ACLManager繼承了Acegi的一貫風(fēng)格，Provider可以提供多種取得ACL訪問列表的途徑，默認(rèn)的是用basicAclProvider在數(shù)據(jù)庫中取得。既然提到了數(shù)據(jù)庫，那我們就來看一下Acegi默認(rèn)提供的ACL在數(shù)據(jù)庫里的保存表結(jié)構(gòu)：



    acl_object_identity表存放了所有受保護(hù)的domainObject的信息。其中object_identity字段保存了domainObject的class和id，默認(rèn)的保存格式是：domainClass:domainObjectId。
    
acl_permission 就是ACL權(quán)限列表了，recipient 是用戶或角色信息，mask表示了這個(gè)用戶或角色對這個(gè)domainObject的訪問權(quán)限。注意這些信息的保存格式都是可以根據(jù)自己的需要改變的。

這樣讀取和刪除的時(shí)候Acegi就能很好的完成攔截工作，但是讀取一個(gè)List的時(shí)候，如何才能把該用戶不能操作的domainObject剔除掉呢？這就需要afterInvocationManager來完成這個(gè)工作。下面來看下配置：

    <!-- ============== "AFTER INTERCEPTION" AUTHORIZATION DEFINITIONS =========== -->

    <bean id="afterInvocationManager" class="org.acegisecurity.afterinvocation.AfterInvocationProviderManager">
        <property name="providers">
            <list>
                <ref local="afterAclCollectionRead"/>
            </list>
        </property>
    </bean>
    <!-- Processes AFTER_ACL_COLLECTION_READ configuration settings -->
    <bean id="afterAclCollectionRead" class="org.acegisecurity.afterinvocation.BasicAclEntryAfterInvocationCollectionFilteringProvider">
        <property name="aclManager">
            <ref local="aclManager"/>
        </property>
        <property name="requirePermission">
            <list>
                <ref local="org.acegisecurity.acl.basic.SimpleAclEntry.ADMINISTRATION"/>
                <ref local="org.acegisecurity.acl.basic.SimpleAclEntry.READ"/>
            </list>
        </property>
    </bean>

afterAclCollectionRead會在攔截的方法執(zhí)行結(jié)束的時(shí)候執(zhí)行。主要的作用就是在返回的List中挨個(gè)檢查domainObject的操作權(quán)限，然后根據(jù)requirePermission來剔除不符合的domainObject。
4.3 使用RuleEngine設(shè)置的ACL規(guī)則
在SpringSide里使用了RuleEngine來設(shè)置ACL規(guī)則，具體規(guī)則見
bookstore-sample\resources\rules\drl
 
五 FAQ 
5.1 FAQ

    Q:   能否脫離Spring框架來使用Acegi?
A:  雖然Acegi 沒有要求必須使用Spring Framework，但事實(shí)上Acegi很大程度上利用了Spring的IOC和AOP,很難脫離Spring的單獨(dú)使用。
    
Q:  Acegi有對xfire的支持嗎?
A: 有,詳見http://jira.codehaus.org/browse/XFIRE-389
    
Q: 為何無論怎么設(shè)置都返回到登陸頁面無法成功登陸?
A:  檢查登陸頁面或登陸失敗頁面是否只有ROLE_ANONYMOUS權(quán)限

5.2 Acegi 補(bǔ)習(xí)班
要了解Acegi,首先要了解以下幾個(gè)重要概念： 

    
    Authentication 
Authentication對象包含了principal, credentials 和 authorities(authorities要賦予給principal的),同時(shí)也可以包含一些附加的認(rèn)證請求信息,如TCP/IP地址和Session id等。 
    

    SecurityContextHolder
SecurityContextHolder包含ThreadLocal私有屬性用于存取SecurityContext, SecurityContext包含Authentication私有屬性, 看以下一段程序
    

public void getSecurityContextInformations() {
  SecurityContext sc = SecurityContextHolder.getContext();
  Authentication auth = sc.getAuthentication();
  Object principal = auth.getPrincipal();
  if (principal instanceof UserDetails) {
   //用戶密碼
   String password = ((UserDetails) principal).getPassword();
   //用戶名稱
   String username = ((UserDetails) principal).getUsername();
   //用戶權(quán)限
   GrantedAuthority[] authorities = ((UserDetails) principal).getAuthorities();
   for (int i = 0; i < authorities.length; i++) {
    String authority = authorities[i].getAuthority();
   }
  }
  Object details = auth.getDetails();
  if (details instanceof WebAuthenticationDetails) {
   //用戶session id
   String SessionId = ((WebAuthenticationDetails) details).getSessionId();
  }
 }

    
    
AuthenticationManager
通過Providers驗(yàn)證在當(dāng)前 ContextHolder中的Authentication對象是否合法。
    
AccessDecissionManager
經(jīng)過投票機(jī)制來審批是否批準(zhǔn)操作
    
RunAsManager
當(dāng)執(zhí)行某個(gè)操作時(shí),RunAsManager可選擇性地替換Authentication對象
    
Interceptors
攔截器(如FilterSecurityInterceptor,JoinPoint,MethodSecurityInterceptor等)用于協(xié)調(diào)授權(quán),認(rèn)證等操作


 
CREATE TABLE acl_object_identity (
id IDENTITY NOT NULL,
object_identity VARCHAR_IGNORECASE(250) NOT NULL,
parent_object INTEGER,
acl_class VARCHAR_IGNORECASE(250) NOT NULL,
CONSTRAINT unique_object_identity UNIQUE(object_identity),
FOREIGN KEY (parent_object) REFERENCES acl_object_identity(id)
);
CREATE TABLE acl_permission (
id IDENTITY NOT NULL,
acl_object_identity INTEGER NOT NULL,
recipient VARCHAR_IGNORECASE(100) NOT NULL,
mask INTEGER NOT NULL,
CONSTRAINT unique_recipient UNIQUE(acl_object_identity, recipient),
FOREIGN KEY (acl_object_identity) REFERENCES acl_object_identity(id)
);

posted on 2007-06-28 10:50 junky 閱讀(966) 評論(0) 編輯收藏所屬分類: security

新用戶注冊刷新評論列表


只有注冊用戶登錄后才能發(fā)表評論。




網(wǎng)站導(dǎo)航: 博客園 IT新聞 Chat2DB C++博客博問管理
相關(guān)文章: Windows下架設(shè)Subversion服務(wù)器(轉(zhuǎn)) CAS中使用自己的Credentials（轉(zhuǎn)） 14.1 Acegi眼中的領(lǐng)域?qū)ο?/a> 14.2 實(shí)施保護(hù)領(lǐng)域?qū)ο蟮闹匾襟E Acegi Security -- Spring下最優(yōu)秀的安全系統(tǒng)(轉(zhuǎn)) 在Acegi中使用ACL(轉(zhuǎn)) Acegi ACL使用說明 Acegi簡介 Acegi 參考手冊(V1.0.4) 翻譯 Acegi Security -- Spring下最優(yōu)秀的安全系統(tǒng)

Junky's IT Notebook

導(dǎo)航

隨筆分類(224)

文章分類(5)

隨筆檔案(228)

文章檔案(7)

統(tǒng)計(jì)

留言簿(8)

積分與排名

WebSphere Studio

閱讀排行榜

評論排行榜

Acegi Security -- Spring下最優(yōu)秀的安全系統(tǒng)

1.1 網(wǎng)站資源

1.2 多方面的安全控制粒度

1.3 非入侵式安全架構(gòu)

1.4 其它安全架構(gòu)

2.1 在Web.xml中的配置

2.2 在applicationContext-acegi-security.xml中

2.2.1 FILTER CHAIN

2.2.2 基礎(chǔ)認(rèn)證

2.2.3 HTTP安全請求

2.2.4 方法調(diào)用安全控制

2.3 Jcaptcha驗(yàn)證碼

3.1 基于角色的權(quán)限控制(RBAC)

3.2 管理和使用EhCache

3.2.1 設(shè)立緩存

3.2.2 管理緩存

3.3 資源權(quán)限定義擴(kuò)展

3.3.1 Aop Invocation Authorization

3.3.2 Filter Invocation Authorization

3.4 授權(quán)操作

4.1 基本概念

4.2 Acegi ACL配置

4.3 使用RuleEngine設(shè)置的ACL規(guī)則

5.1 FAQ

5.2 Acegi 補(bǔ)習(xí)班