亚洲av永久无码精品网址,国产午夜亚洲精品,91亚洲性爱在线视频

spring security 配置文件小結(jié)(逐步深化到url級別)

Java代碼

一、方式一：用戶名密碼都在配置文件中。
<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
xmlns:beans="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.springframework.org/schema/beans
http://www.springframework.org/schema/beans/spring-beans-2.0.xsd
http://www.springframework.org/schema/security
http://www.springframework.org/schema/security/spring-security-2.0.4.xsd">
<http auto-config='true'>
<intercept-url pattern="/admin.jsp" access="ROLE_ADMIN" />
<intercept-url pattern="/**" access="ROLE_USER" />
</http>
<authentication-provider>
<user-service>
<user name="admin" password="admin" authorities="ROLE_USER, ROLE_ADMIN" />
<user name="user" password="user" authorities="ROLE_USER" />
</user-service>
</authentication-provider>
</beans:beans>
二、方式二：運(yùn)用spring security 提供的默認(rèn)表結(jié)構(gòu)，authentication部分修改如下：
<authentication-provider>
<jdbc-user-service data-source-ref="dataSource"/>
</authentication-provider>
<beans:bean id="dataSource" class="org.springframework.jdbc.datasource.DriverManagerDataSource">
<beans:property name="driverClassName" value="org.hsqldb.jdbcDriver"/>
<beans:property name="url" value="jdbc:hsqldb:res:/hsqldb/test"/>
<beans:property name="username" value="sa"/>
<beans:property name="password" value=""/>
</beans:bean>
三、方式三：運(yùn)用原先本地的數(shù)據(jù)庫，authentication修改如下：
<authentication-provider>
<jdbc-user-service data-source-ref="dataSource"
users-by-username-query="select username,password,status as enabled
from user
where username=?"
authorities-by-username-query="select u.username,r.name as authority
from user u
join user_role ur
on u.id=ur.user_id
join role r
on r.id=ur.role_id
where u.username=?"/>
</authentication-provider>
注：
users-by-username-query為根據(jù)用戶名查找用戶，系統(tǒng)通過傳入的用戶名查詢當(dāng)前用戶的登錄名，密碼和是否被禁用這一狀態(tài)。
authorities-by-username-query為根據(jù)用戶名查找權(quán)限，系統(tǒng)通過傳入的用戶名查詢當(dāng)前用戶已被授予的所有權(quán)限。
四、方式四；在方式三的基礎(chǔ)上，修改登錄頁面
在xml中的http標(biāo)簽中添加一個form-login標(biāo)簽。
<http auto-config='true'>
<intercept-url pattern="/login.jsp" access="IS_AUTHENTICATED_ANONYMOUSLY" />[1]
<intercept-url pattern="/admin.jsp" access="ROLE_ADMIN" />
<intercept-url pattern="/**" access="ROLE_USER" />
<form-login login-page="/login.jsp"[2]
authentication-failure-url="/login.jsp?error=true"[3]
default-target-url="/" />[4]
</http>
1、讓沒登陸的用戶也可以訪問login.jsp。[1]
這是因?yàn)榕渲梦募械?#8220;/**”配置，要求用戶訪問任意一個系統(tǒng)資源時，必須擁有ROLE_USER角色，/login.jsp也不例外，如果我們不為/login.jsp單獨(dú)配置訪問權(quán)限，會造成用戶連登陸的權(quán)限都沒有，這是不正確的。
2、login-page表示用戶登陸時顯示我們自定義的login.jsp。[2]
這時我們訪問系統(tǒng)顯示的登陸頁面將是我們上面創(chuàng)建的login.jsp。
3、authentication-failure-url表示用戶登陸失敗時，跳轉(zhuǎn)到哪個頁面。[3]
當(dāng)用戶輸入的登錄名和密碼不正確時，系統(tǒng)將再次跳轉(zhuǎn)到/login.jsp，并添加一個error=true參數(shù)作為登陸失敗的標(biāo)示。
4、default-target-url表示登陸成功時，跳轉(zhuǎn)到哪個頁面。[4]
五、方式五:使用數(shù)據(jù)配置角色可以訪問的資源（控制到URL級別）（可以參見工程005）
<!--從配置文件上可以看到，Spring Security所需的數(shù)據(jù)應(yīng)該是一系列URL網(wǎng)址和訪問這些網(wǎng)址所需的權(quán)限：
<intercept-url pattern="/login.jsp" access="IS_AUTHENTICATED_ANONYMOUSLY" />
<intercept-url pattern="/admin.jsp" access="ROLE_ADMIN" />
<intercept-url pattern="/**" access="ROLE_USER" />
SpringSecurity所做的就是在系統(tǒng)初始化時，將以上XML中的信息轉(zhuǎn)換為特定的數(shù)據(jù)格式，而框架中其他組件可以利用這些特定格式的數(shù)據(jù)，用于控制之后的驗(yàn)證操作。現(xiàn)在這些資源信息都保存在數(shù)據(jù)庫中了，從數(shù)據(jù)庫中取出數(shù)據(jù)，然后讓它等同于從xml文件中取出，需要做以下幾步。
-->
1、實(shí)現(xiàn)一個符合該功能的類，主要參看該類中1-5步驟，了解即可。
<!--
public class JdbcFilterInvocationDefinitionSourceFactoryBean
extends JdbcDaoSupport implements FactoryBean {
private String resourceQuery;
public boolean isSingleton() {
return true;
}
public Class getObjectType() {
return FilterInvocationDefinitionSource.class;
}
//4、使用urlMatcher和requestMap創(chuàng)建DefaultFilterInvocationDefinitionSource。
public Object getObject() {
return new DefaultFilterInvocationDefinitionSource(this
.getUrlMatcher(), this.buildRequestMap());
}
//2、這樣我們可以執(zhí)行它的execute()方法獲得所有資源信息。并把它封裝到map中。
protected Map<String, String> findResources() {
ResourceMapping resourceMapping = new ResourceMapping(getDataSource(),
resourceQuery);
Map<String, String> resourceMap = new LinkedHashMap<String, String>();
for (Resource resource : (List<Resource>) resourceMapping.execute()) {
String url = resource.getUrl();
String role = resource.getRole();
if (resourceMap.containsKey(url)) {
String value = resourceMap.get(url);
resourceMap.put(url, value + "," + role);
} else {
resourceMap.put(url, role);
}
}
return resourceMap;
}
/* <intercept-url pattern="/login.jsp" access="IS_AUTHENTICATED_ANONYMOUSLY" />
<intercept-url pattern="/admin.jsp" access="ROLE_ADMIN" />
<intercept-url pattern="/**" access="ROLE_USER" />*/
//3、使用獲得的資源信息組裝requestMap。再把第二步封裝到map中的方法進(jìn)一步加工，使它等價于“如spring從上面模式的配置文件中讀取一樣”
protected LinkedHashMap<RequestKey, ConfigAttributeDefinition> buildRequestMap() {
LinkedHashMap<RequestKey, ConfigAttributeDefinition> requestMap = null;
requestMap = new LinkedHashMap<RequestKey, ConfigAttributeDefinition>();
ConfigAttributeEditor editor = new ConfigAttributeEditor();
Map<String, String> resourceMap = this.findResources();
for (Map.Entry<String, String> entry : resourceMap.entrySet()) {
RequestKey key = new RequestKey(entry.getKey(), null);
editor.setAsText(entry.getValue());
requestMap.put(key,
(ConfigAttributeDefinition) editor.getValue());
}
return requestMap;
}
protected UrlMatcher getUrlMatcher() {
return new AntUrlPathMatcher();
}
public void setResourceQuery(String resourceQuery) {
this.resourceQuery = resourceQuery;
}
private class Resource {
private String url;
private String role;
public Resource(String url, String role) {
this.url = url;
this.role = role;
}
public String getUrl() {
return url;
}
public String getRole() {
return role;
}
}
//1、我們通過定義一個MappingSqlQuery實(shí)現(xiàn)數(shù)據(jù)庫操作。
private class ResourceMapping extends MappingSqlQuery {
protected ResourceMapping(DataSource dataSource,
String resourceQuery) {
super(dataSource, resourceQuery);
compile();
}
protected Object mapRow(ResultSet rs, int rownum)
throws SQLException {
String url = rs.getString(1);
String role = rs.getString(2);
Resource resource = new Resource(url, role);
return resource;
}
}
}
-->
2、替換原有功能的切入點(diǎn)
在spring中配置我們編寫的代碼。
<beans:bean id="filterInvocationDefinitionSource"
class="com.family168.springsecuritybook.ch005.JdbcFilterInvocationDefinitionSourceFactoryBean">
<beans:property name="dataSource" ref="dataSource"/>
<beans:property name="resourceQuery" value="
select re.res_string,r.name
from role r
join resc_role rr
on r.id=rr.role_id
join resc re
on re.id=rr.resc_id
order by priority
"/>
</beans:bean>
下一步使用這個filterInvocationDefinitionSource創(chuàng)建filterSecurityInterceptor，并使用它替換系統(tǒng)原來創(chuàng)建的那個過濾器。
<beans:bean id="filterSecurityInterceptor"
class="org.springframework.security.intercept.web.FilterSecurityInterceptor" autowire="byType">
<custom-filter before="FILTER_SECURITY_INTERCEPTOR" />
<beans:property name="objectDefinitionSource" ref="filterInvocationDefinitionSource" />
</beans:bean>
注意這個custom-filter標(biāo)簽，它表示將filterSecurityInterceptor放在框架原來的FILTER_SECURITY_INTERCEPTOR過濾器之前，這樣我們的過濾器會先于原來的過濾器執(zhí)行，因?yàn)樗墓δ芘c老過濾器完全一樣，所以這就等于把原來的過濾器替換掉了。
3、完整的配置文件如下所示：
<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
xmlns:beans="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.springframework.org/schema/beans
http://www.springframework.org/schema/beans/spring-beans-2.0.xsd
http://www.springframework.org/schema/security
http://www.springframework.org/schema/security/spring-security-2.0.4.xsd">
<http auto-config="true"/>
<authentication-provider>
<jdbc-user-service data-source-ref="dataSource"
users-by-username-query="select username,password,status as enabled
from user
where username=?"
authorities-by-username-query="select u.username,r.name as authority
from user u
join user_role ur
on u.id=ur.user_id
join role r
on r.id=ur.role_id
where u.username=?"/>
</authentication-provider>
<beans:bean id="filterSecurityInterceptor"
class="org.springframework.security.intercept.web.FilterSecurityInterceptor" autowire="byType">
<custom-filter before="FILTER_SECURITY_INTERCEPTOR" />
<beans:property name="objectDefinitionSource" ref="filterInvocationDefinitionSource" />
</beans:bean>
<beans:bean id="filterInvocationDefinitionSource"
class="com.family168.springsecuritybook.ch05.JdbcFilterInvocationDefinitionSourceFactoryBean">
<beans:property name="dataSource" ref="dataSource"/>
<beans:property name="resourceQuery" value="
select re.res_string,r.name
from role r
join resc_role rr
on r.id=rr.role_id
join resc re
on re.id=rr.resc_id
order by priority
"/>
</beans:bean>
<beans:bean id="dataSource" class="org.springframework.jdbc.datasource.DriverManagerDataSource">
<beans:property name="driverClassName" value="org.hsqldb.jdbcDriver"/>
<beans:property name="url" value="jdbc:hsqldb:res:/hsqldb/test"/>
<beans:property name="username" value="sa"/>
<beans:property name="password" value=""/>
</beans:bean>
</beans:beans>
4、允許動態(tài)增加某個用戶權(quán)限。
目前存在的問題是，系統(tǒng)會在初始化時一次將所有資源加載到內(nèi)存中，即使在數(shù)據(jù)庫中修改了資源信息，系統(tǒng)也不會再次去從數(shù)據(jù)庫中讀取資源信息。這就造成了每次修改完數(shù)據(jù)庫后，都需要重啟系統(tǒng)才能時資源配置生效。
解決方案是，如果數(shù)據(jù)庫中的資源出現(xiàn)的變化，需要刷新內(nèi)存中已加載的資源信息時，使用下面代碼：
<%@page import="org.springframework.context.ApplicationContext"%>
<%@page import="org.springframework.web.context.support.WebApplicationContextUtils"%>
<%@page import="org.springframework.beans.factory.FactoryBean"%>
<%@page import="org.springframework.security.intercept.web.FilterSecurityInterceptor"%>
<%@page import="org.springframework.security.intercept.web.FilterInvocationDefinitionSource"%>
<%
ApplicationContext ctx = WebApplicationContextUtils.getWebApplicationContext(application);
FactoryBean factoryBean = (FactoryBean) ctx.getBean("&filterInvocationDefinitionSource");
FilterInvocationDefinitionSource fids = (FilterInvocationDefinitionSource) factoryBean.getObject();
FilterSecurityInterceptor filter = (FilterSecurityInterceptor) ctx.getBean("filterSecurityInterceptor");
filter.setObjectDefinitionSource(fids);
%>
<jsp:forward page="/"/>

posted on 2011-09-06 14:22 sichuanxiaohuo 閱讀(3527) 評論(0) 編輯收藏所屬分類: spring


只有注冊用戶登錄后才能發(fā)表評論。




網(wǎng)站導(dǎo)航: 博客園 IT新聞 Chat2DB C++博客博問管理
相關(guān)文章: spring security 配置文件小結(jié)(逐步深化到url級別) spring組件掃描使用詳解

spring security 配置文件小結(jié)(逐步深化到url級別)

導(dǎo)航

統(tǒng)計

留言簿

文章分類

文章檔案

link

搜索

最新評論