spring security笔记

当指定http元素的auto-config=”true”时，就相当于如下内容的简写。

   <security:http>
      <security:form-login/>
      <security:http-basic/>
      <security:logout/>
   </security:http>

如果使用了use-expressions="true"，那么<intercept-url pattern="/**" access="hasRole('ROLE_USER')"/>，反之<intercept-url pattern="/**" access="ROLE_USER"/>

在Spring Security中，AuthenticationManager的默认实现是ProviderManager，而且它不直接自己处理认证请求，而是委托给其所配置的AuthenticationProvider列表，然后会依次使用每一个AuthenticationProvider进行认证，如果有一个AuthenticationProvider认证后的结果不为null，则表示该AuthenticationProvider已经认证成功，之后的AuthenticationProvider将不再继续认证。然后直接以该AuthenticationProvider的认证结果作为ProviderManager的认证结果。

当我们在使用NameSpace时， authentication-manager元素的使用会使Spring Security 在内部创建一个ProviderManager，然后可以通过authentication-provider元素往其中添加AuthenticationProvider。当定义authentication-provider元素时，如果没有通过ref属性指定关联哪个AuthenticationProvider，Spring Security默认就会使用DaoAuthenticationProvider。