Acegi角色管理系统.docVIP

Acegi + Spring + Hibernate + Struts2 搭建基于角色的权限管理系统, 也是最头疼的事, 其实安全系统只包括两个问题：认证和授权 以前做些网站系统, 安全检测逻辑都在放在要安全控制的代码前面, 这样做有很多不好的地方重复多次的编码就不用说了, 代码移植性, 重用性都得不到体现, 安全检测逻辑要永远和业务逻辑放在一起那么, 能不能够在进入方法前就调用一些安全检测? 其实Spring AOP就是这个思想, 那么又如何实现安全检测呢? Spring Acegi Security 框架就是做这个事情本文主要是讨论下在已有的SSH系统中, 如何使用Acegi作为安全框架实现基于角色的权限控制 (Role Based Access Control RBAC) , 本文主要是以Java 5注解的形式来配置安全框架, 大大减化配置和操作本文的主要参考资料: Spring 2.0 核心技术与最佳实践 第10章 (Spring Acegi 安全框架)《精通Spring 2.X -- 企业应用开发详解》 第17章 (使用Acegi实施应用系统安全)acegi-security-1.0.6 官方文档说明: 本文介绍的是RBAC, 在官方文档的基础上有所扩展或改动, 以更适合WEB应用系统. 其实我觉得大多数的网站基于角色已经足够了, 一般都没必要基于权限。ibernate 3.2, Acegi 1.0.6 建立相关的数据库 数据表: 用户信息表: User: id, enable(授权方式), user_name, user_pass, email_box 角色信息表: RoleInfo: id, role_name, role_title, descp(描述) 用户与角色关联表：UserRole: 并在这三张表中插入相关的数据，我是定义的两种角色(role_name): ROLE_USER, ROLE_ADMIN 和三个用户 一个用户角色为：ROLE_USER, ROLE_ADMIN; 另一个角色为：ROLE_USER 第三个没有角色 修改配置文件 其实对Acegi的难点就在配置文件, 所以要特别注意： 在src目录下建立acegi-security.xml文件, 当然这个文件的名字可以是任意的。 acegi-security.xml 说白了就是配置安全管理器, 认证管理器, 决策管理器 内容如下： 在上面的配置文件中, 要特别注意在整个应用的安全控制中, 我们唯一要编写代码的类就是: org.ymcn.security.AcegiUserDeitailsService 其实就是在需要安全控制的方法前加上: @Secured({角色名}), 非常的简单“角色名”})就可完成。 上面的AcegiUserDetailsService.java中的UserDao, UserRoleDao, 我想一看就知道是干什么的了, 这完全取决于个人的实现, 与Acegi无关, 它仅仅只要返回一个 return new org.acegisecurity.userdetails.User(username, user.getUserPass(), true, true, true, true, this.grantedAuthArray)就可以了。