实战Acegi.docVIP

实战Acegi：使用Acegi作为基于Spring框架的WEB应用的安全框架 作者:一餐三碗 绍如何配置和扩展Acegi框架以适应实际需要。 1. 概述 配置Acegi安全系统能够轻松地适用于复杂的安全需求。它既能应用于WEB应用也能应用于非WEB应用。在 本文的示例程序，介绍如何配置和扩展Acegi框架以适应实际需要，使其能够从数据库中读取配置信息。 2. 例子说明 acegi-sample │ contactadd.jsp//增加联系人页面 │ contactedit.jsp//编辑联系人页面 │ contactlist.jsp//联系人列表页面 │ contactmainterance.jsp//联系人操作页面 │ index.jsp//主页面 │ login.jsp//登录页面 │ logoff.jsp//登出页面 │ ├─WEB-INF │ │ web.xml │ │ applicationContext-basic.xml │ │ applicationContext-security-acegi.xml │ │ perties │ │ │ ├─src │ │ └─sample//java代码目录 │ ├─classes │ └─lib//依赖包目录 └─db//建表脚本目录 程序的ER图如下： 说明：authorities用来存放用户权限配置信息，其中，AUTHORITY字段存放以“AUTH_”开头的权限标志串。AUTH_TYPE 了，我们没有引入一般情况下会有的用户组或者角色的概念，不过在后面的内容里我们将看到对现有的安全模型进行扩展是一件很容易的事。 程序的静态类图如下： 3. 配置文件说明 接下来，我们将进入本文的重要内容，开始对Acegi应用程序所牵涉到的配置文件进行一一说明。 3.1 web.xml 实战Acegi：使用Acegi作为基于Spring框架的WEB应用的安全框架 context-param param-namecontextConfigLocation/param-name param-value /WEB-INF/applicationContext-basic.xml /WEB-INF/applicationContext-security-acegi.xml /param-value /context-param 其次声明Acegi过滤器。 　 !--Acegi Filter Chain Proxy -- filter filter-nameAcegi Filter Chain Proxy/filter-name init-param param-nametargetClass/param-name /init-param /filter filter-mapping filter-nameAcegi Filter Chain Proxy/filter-name url-pattern/*/url-pattern /filter-mapping 说明：Acegi对WEB应用的支持主要是依靠servlet 过滤器（filter） 来实现的。每一个http request都将被这些过滤器层层拦截并进行安全处理（包括认证和授权）。针对不同的安全处理，Acegi提供了不同的过滤器。过滤器的配置信息位于web.xml，但是我们又希望把Acegi的过滤器配置信息放在SpringFramework的配置文件里（applicationContext-security-acegi.xml），从而实现对这些过滤器的“控制反转”。解决这个问题的方法是采用Acegi提供的FilterToBeanProxy。FilterToBeanProxy顾名思义就是对Acegi过滤器Bean的代理，它的主要功能就是将http请求依次分派给对应的过滤器Bean。 3.2 applicationContext-security-acegi.xml bean id=filterChainProxy class=net.sf.acegisecurity.util.FilterChainProxy property name=filterInvocationDefinitionSource value CONVERT_URL_TO_LOWERCASE_BEFO