無為

無為則可為，無為則至深！

:: 管理

190 Posts :: 291 Stories :: 258 Comments :: 0 Trackbacks

作者：javafish(likunkun)
Email:javafish@sunxin.org
Acegi是基于Spring的一個開源的安全認證框架，現在的最新版本是1.04。Acegi的特點就是有很多的過濾器：不過我們也用不到這么多的過濾器，只是可以把它們看作為一個個的模塊，在用的時候加上自己用的著的即可，由于認證的流程的方面比較復雜導致它的配置很復雜，如果能摸清它的工作原理還是不太難.下面用比較順著人思維的流程過一遍
這里只列出常用的過濾器和攔載器
1. 過濾器：HttpSessionContextIntegrationFilter，authenticationProcessingFilter，BasicProcessingFilter，RememberMeProcessingFilter，anonymousProcessingFilter,exceptionTranslationFilter
2. 攔截器：filterSecurityInterceptor（其實它是過濾器，不過把它放在這里更能說明它的功能），methodSecurityInterceptor
看著上面的用紅色標出的過濾器是用來認證（表單和HTTP基本認證，當然還有別的不過這兩個比較長用）它們是資源訪問的入口.其它的過濾器是用來輔助的：HttpSessionContextIntegrationFilter是用來把認證信息記錄到Session中的RememberMeProcessingFilter是以cookie的形式來保存認證信息的. anonymousProcessingFilter是在匿名的時候（這時候是沒有認證信息的）給這個用戶分配一個匿名的認證信息，exceptionTranslationFilter總結一下異常并處理.在實際中選擇適合程序的即可.
上面只是資源訪問的入口，真正保護資源的是這兩個攔截器：filterSecurityInterceptor，攔截URL的類（它是個過濾器）
metohdSecurityInterceptor，攔截類中方法的調用，它們為什么要攔截呢？就是想在訪問或調用這些方法之前來判斷一下用戶是否有訪問或調用的權限，有就通過，沒有就踢出.
除此之外，Acegi專門做了兩個管理器（實際上就是兩個類，為什么會用做這兩個管理器，因為認證和授權都有一些的操作，這就需要專門做兩個管理器了）：authenticationManager（class= org.acegisecurity.providers.ProviderManager），授權管理器accessDecisionManager（class=org.acegisecurity.vote.AffirmativeBased）
說白了一個用于認證用戶，一個是用于權限的授于的
先來說認證用戶，認證管理器有什么東西呢？只內置了一些提供者：這些提供者呢又是什么呢，他們是提供用戶的驗證身份信息的，比如從數據庫或配置文件里讀出用戶名和密碼，在用戶的cookie里讀出身份信息（rememberMeProcessingFilter用到的[前面講了的，有印象吧]），或在Session里讀出身份驗證信息（HttpSessionContextIntegrationFilter起作用的），這里我們只說一下從數據庫或配置文件里讀出用戶名密碼來裝配驗證信息的，其它的配置類似可以找一下對應api在Spring里配置即可，daoAuthenticationProvider是數據庫的提供者class=org.acegisecurity.providers.dao.DaoAuthenticationProvider，而它提供的服務呢又有幾種，數據庫和配置文件（這是Acegi的兩個默認的實現）當然也可以自己實現（實現userDetailsService接口就行）

代碼

<bean id="authenticationManager" class="org.acegisecurity.providers.ProviderManager">
<property name="providers">
<list>
<ref local="daoAuthenticationProvider"/>
</list>
</property>
</bean>
<bean id="daoAuthenticationProvider" class="org.acegisecurity.providers.dao.DaoAuthenticationProvider">
<property name="userDetailsService"><ref local="jdbcDaoImpl"/></property>
</bean>

如果用戶名和密碼在配置文件里可以用InMemoryDaoImpl，class=org.acegisecurity.userdetails.memory.InMemoryDaoImpl，在這個類的userMap里配置即可：javafish=java,ROLE_USER，配置了一個用戶名為javafish,密碼為java,用戶組為ROLE_USER的用戶，不過最常用的還是數據庫的JDBC實現（兩個二選一）org.acegisecurity.userdetails.jdbc.JdbcDaoImpl里面需要usersByUsernameQuery和authoritiesByUsernameQuery還有數據源dataSource（有人問為什么呢，userByUsernameQuery是用來通過用戶名來查密碼的，authoritiesByUsernameQuery是用來通過用戶名來查權限的，查詢數據庫肯定的用數據源吧這個里是用的SpringFrameWork的DataSource）它們查詢的sql語句是有講究的，就是查密碼的時候查三個第一個是username，第二個是password，第三個是是否可用，查權限的時候查兩個：username和authorities（具體看例子）

代碼

<bean id="InMemoryDaoImpl" class="org.acegisecurity.userdetails.memory.InMemoryDaoImpl">
<property name="userMap">
<value>
javajavafish=java,ROLE_USER
</value>
</property>
</bean>
<bean id="jdbcDaoImpl" class="org.acegisecurity.userdetails.jdbc.JdbcDaoImpl">
<property name="usersByUsernameQuery">
<value>select username,password,enabled from users where username=?</value>
</property>
<property name="authoritiesByUsernameQuery">
<value>select username,authority from authorities where username=?</value>
</property>
<property name="dataSource">
<ref local="dataSource"/>
</property>
</bean>
<bean id="dataSource" class="org.springframework.jdbc.datasource.DriverManagerDataSource">
<property name="driverClassName">
<value>com.mysql.jdbc.Driver</value>
</property>
<property name="url">
<value>jdbc:mysql://localhost:3306/test</value>
</property>
<property name="username">
<value>root</value>
</property>
<property name="password">
<value>javafish</value>
</property>
</bean>

下面說一下授權，授權管理器又有什么東西呢？accessDecisionManager，Acegi把授權方面弄的比較的形象化，把某個URL或方法是否可以被訪問按投票的形式來決定，

Acegi提出來了幾種方案：
1. 如果有一個贊成就同意（具體的說就是只要你在那個URL對應的幾個用戶組中的一個就讓你訪問）
2. 如果都贊成就同意（具本的說就是那個URL對應的幾個用戶組里都有你，你才能訪問）
3. 如果都不反對就同意（這個在下面講投票者的時候再說）

代碼

<bean id="accessDecisionManager" class="org.acegisecurity.vote.AffirmativeBased">
<property name="allowIfAllAbstainDecisions">
<value>false</value>
</property>
<property name="decisionVoters">
<ref bean="roleVoter"/>
</property>
</bean>

而投票者呢：Acegi自己實現了一個投票者的類RoleVoter：
現在我用第一種方案，RoleVoter只是在URL對應的用戶組里有ROLE_為前綴的才進行投票，否則的話棄權.（我們也可以在配置RoleVoter的時候把ROLE_配置成為別的前綴如JAVA_），分別對URL對應的每個用戶組投票，如果用戶在這個用戶組里就投贊成，不在投反對（在用戶組的前綴是ROLE_的前提下）這樣就不難體會第三種方案的用途了吧

代碼

<bean id="roleVoter" class="org.acegisecurity.vote.RoleVoter">
<property name="rolePrefix">
<value>ROLE_</value>
</property>
</bean>

這樣認證管理器和授權管理器就ok了，別的無論是過濾器還是攔截器都會用到它們兩個，因為它們都要驗證而這兩個就是憑證.
那么那兩個訪問過濾器呢，先說authenticationProcessingFilter是用于表單登陸的

代碼

<bean id="authenticationProcessingFilter" class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilter">
<property name="authenticationManager"><ref bean="authenticationManager"/></property>
<property name="authenticationFailureUrl"><value>/failure.html</value></property>
<property name="defaultTargetUrl"><value>/ok.html</value></property>
<property name="filterProcessesUrl"><value>/check</value></property>
</bean>

這樣的話加上上面配置的認證管理器就已經可以處理登陸了（注意的是它沒有用到授權管理器，因為它只是個訪問入口還沒有權限的授予）
再說一下HTTP基本認證：它比上面的略復雜一點
需要配置一個

代碼

<bean id="BasicProcessingFilterEntryPoint" class="org.acegisecurity.ui.basicauth.BasicProcessingFilterEntryPoint">
<property name="realmName"><value>javafish</value></property>
</bean>
然后
<bean id="BasicProcessingFilter" class="org.acegisecurity.ui.basicauth.BasicProcessingFilter">
<property name="authenticationManager">
<ref bean="authenticationManager"/>
</property>
<property name="authenticationEntryPoint">
<ref bean="BasicProcessingFilterEntryPoint"/>
</property>
</bean>

即可.
不過在HTTP基本認證里需要注意的地方是：好多人配置好了怎么看不到效果啊，一開始我也是很郁悶，看了BasicProcessingFilter的源代碼：
String header = httpRequest.getHeader("Authorization");／／我們一般進入網頁測試的時候這里的header始終是null的

代碼

if (logger.isDebugEnabled()) {
logger.debug("Authorization header: " + header);
}
if ((header != null) && header.startsWith("Basic ")) {//從這里可以看到一般的登陸基本認證是不起作用的
.................

只有在服務器上配置哪個目錄在訪問的時候用HTTP基本認證，它才會起作用（一開始還以為是Acegi的BUG呢）
下面說一下真正對URL資源的保護了filterSecurityInterceptor它的本質是個過濾器，有了前面＊管理器的基礎了這就很容易了：

代碼

<bean id="filterSecurityInterceptor" class="org.acegisecurity.intercept.web.FilterSecurityInterceptor">
<property name="authenticationManager">
<ref local="authenticationManager"/>
</property>
<property name="accessDecisionManager">
<ref local="accessDecisionManager"/>
</property>
<property name="objectDefinitionSource">
<value>
CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
PATTERN_TYPE_APACHE_ANT
/ok.html=ROLE_USER
</value>
</property>
</bean>

光這樣配置還是不夠的，因為當授權失敗的時候會拋出異常的，我們應該配置一個異常過濾器來捕獲它，exceptionTranslationFilter它是用來捕獲異常的，看一下配置吧：

代碼

<bean id="exceptionTranslationFilter" class="org.acegisecurity.ui.ExceptionTranslationFilter">
<property name="authenticationEntryPoint"><ref local="authenticationProcessingFilterEntryPoint"/></property>
<property name="accessDeniedHandler">
<bean class="org.acegisecurity.ui.AccessDeniedHandlerImpl">
<property name="errorPage" value="/failure.html"/>
</bean>
</property>
</bean>
<bean id="authenticationProcessingFilterEntryPoint" class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilterEntryPoint">
<property name="loginFormUrl"><value>/Login.html</value></property>
<property name="forceHttps"><value>false</value></property>
</bean>

這樣就OK了
最后說一下對類中方法的保護：
首先寫一個類并在spring中配置好：

代碼

package org.li.acegi;
public class TestAcegi
{
public void Role()
{
System.out.println("javafish");
}
}
<bean id="testAcegi" class="org.li.acegi.TestAcegi"/>

然看寫個servlet訪問一下它

代碼

package org.li.servlet;
import java.io.IOException;
import java.io.PrintWriter;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import org.li.acegi.TestAcegi;
import org.springframework.context.ApplicationContext;
import org.springframework.web.context.support.WebApplicationContextUtils;
public class TestServlet extends HttpServlet
{
private static final long serialVersionUID = -5610016980827214773L;
public void doGet(HttpServletRequest request, HttpServletResponse response)
throws ServletException, IOException
{
response.setContentType("text/html;charset=GBK");
PrintWriter out = response.getWriter();
ApplicationContext ctx =
WebApplicationContextUtils.getRequiredWebApplicationContext(request.getSession().getServletContext());
TestAcegi test = (TestAcegi)ctx.getBean("testAcegi");
test.Role();//訪問TestAcegi類的Role方法
out.println("調用成功");
}
public void doPost(HttpServletRequest request, HttpServletResponse response)
throws ServletException, IOException
{
doGet(request,response);
}
}

準備工作做好了，開始配置Acegi
先在Spring里給Acegi做個代理：

代碼

<bean id="autoProxyCreator" class="org.springframework.aop.framework.autoproxy.BeanNameAutoProxyCreator">
<property name="beanNames">
<list>
<value>testAcegi</value>
</list>
</property>
<property name="interceptorNames">
<list>
<value>methodSecurityInterceptor</value>
</list>
</property>
</bean>

里面的methodSecurityInterceptor呢配置為：

代碼

<bean id="methodSecurityInterceptor" class="org.acegisecurity.intercept.method.aopalliance.MethodSecurityInterceptor">
<property name="authenticationManager">
<ref bean="authenticationManager"/>
</property>
<property name="accessDecisionManager">
<ref bean="accessDecisionManager"/>
</property>
<property name="objectDefinitionSource">
<value>org.li.acegi.TestAcegi.Role=ROLE_USER</value>
</property>
</bean>

這樣當直接訪問http://localhost:8080/AcegiWeb/servlet/TestServlet的時候會發現不可訪問，控件臺也不輸出”javafish”，當輸入正確的用戶名和密碼之后便可以訪問.
這樣它就對類的方法調用起了保護的作用，這一點可以把Acegi應用到DWR上效果是很理想的.
對于Acegi有很多的過濾器不用全寫在web.xml里，acegi提供了一個特殊的過濾器我們可以寫成這樣，在Web.xml里：

代碼

<filter>
<filter-name>Acegi</filter-name>
<filter-class>org.acegisecurity.util.FilterToBeanProxy</filter-class>
<init-param>
<param-name>targetClass</param-name>
<param-value>org.acegisecurity.util.FilterChainProxy</param-value>
</init-param>
</filter>
<filter-mapping>
<filter-name>Acegi</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
<context-param>
<param-name>contextConfigLocation</param-name>
<param-value>
/WEB-INF/applicationContext.xml
</param-value>
</context-param>
<listener>
<listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
</listener>
<listener>
<listener-class>org.springframework.web.util.Log4jConfigListener</listener-class>
</listener>
<listener>
<listener-class>org.acegisecurity.ui.session.HttpSessionEventPublisher</listener-class>
</listener>
<servlet>
<servlet-name>TestServlet</servlet-name>
<servlet-class>org.li.servlet.TestServlet</servlet-class>
</servlet>
<servlet-mapping>
<servlet-name>TestServlet</servlet-name>
<url-pattern>/servlet/TestServlet</url-pattern>
</servlet-mapping>

在Spring的配置文件里：

代碼

<bean id="chainProxy" class="org.acegisecurity.util.FilterChainProxy">
<property name="filterInvocationDefinitionSource">
<value>
CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
PATTERN_TYPE_APACHE_ANT
/**=HttpSessionContextIntegrationFilter,authenticationProcessingFilter,BasicProcessingFilter,anonymousProcessingFilter,exceptionTranslationFilter,filterSecurityInterceptor
</value>
</property>
</bean>

凡是有該標志的文章，都是該blog博主Caoer（草兒）原創，凡是索引、收藏
、轉載請注明來處和原文作者。非常感謝。

posted on 2007-12-16 21:38 草兒閱讀(1636) 評論(0) 編輯收藏所屬分類: JAVA WEB應用

新用戶注冊刷新評論列表


只有注冊用戶登錄后才能發表評論。




網站導航: 博客園 IT新聞 Chat2DB C++博客博問管理
相關文章: 配置Linux系統環境變量的三種方法 Calender Java開發者需堅守的十大基本準則 Grails application now working on GlassFish v3 Acegi配置文檔 Acegi學習小結 Acegi框架介紹 JBossTools 和Red Hat Developer Studio 新的beta版發布 web測試總結 Web bean 未發布版最新進程

無為

公告

隨筆分類(222)

隨筆檔案(188)

相冊

收藏夾(6)

AJAX

DB BI DM

ＪＡＶＡ編程論壇

ＵＭＬ技術論壇

搜索

積分與排名

最新評論

閱讀排行榜