spring-security(2)

记录一下spring security的配置

配置详解

<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
             xmlns:beans="http://www.springframework.org/schema/beans"
             xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
             xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd
                        http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security.xsd">

    <!-- 指定登录页面不拦截 -->
    <http security="none" pattern="/login.htm"/>

    <http auto-config="true">
        <!--
            login-page  指定登录页面
            username-parameter  登录的用户名，默认是“j_username”
            password-parameter  登录的密码，默认是“j_password”
            login-processing-url  登录提交的页面，默认是“/j-spring-security-check”
            default-target-url  指定登录成功后跳转的界面
            authentication-success-handler-ref  指定登录成功后调用的服务，这里指定后default-target-url就不生效， AuthenticationSuccessHandler
            authentication-failure-url 指定登录失败后跳转的界面
            authentication-failure-handler-ref="authenticationFailHandler" 指定登录失败后调用的服务，这里指定后authentication-failure-url就不生效， SimpleUrlAuthenticationFailureHandler
        -->
        <form-login
                login-page="/login.htm"
                username-parameter="username"
                password-parameter="password"
                login-processing-url="/spring-security-check"
                default-target-url="/user/welcome.htm"
                authentication-success-handler-ref="authenticationSuccessHandler"
                authentication-failure-url="/user/fail.htm"
                authentication-failure-handler-ref="authenticationFailHandler"
        />

        <!--禁用CSRF保护功能 默认开启-->
        <csrf disabled="true"/>

        <!--
        退出登录配置
            logout-url：退出登录提交的页面，默认j_spring_security_logout
            success-handler-ref： 成功退出登录的事件 LogoutSuccessHandler
        -->
        <logout logout-url="/spring_security_logout" success-handler-ref="logoutSuccessHandler" />

        <!--intercept-url定义了一个权限控制的规则。
                pattern：进行权限控制的url
                access：需要什么权限，以逗号分隔的角色列表，只需拥有其中的一个角色就能成功访问
            -->
        <intercept-url pattern="/" access="hasRole('role1')" />
        <intercept-url pattern="/*.htm" access="hasRole('role1')"/>
        <intercept-url pattern="/**/.htm" access="hasRole('role1')"/>
    </http>

    <!--开启权限注解支持 -->
    <global-method-security secured-annotations="enabled" jsr250-annotations="enabled"/>

    <beans:bean id="userService" class="com.yitop.feng.service.UserService"/>

    <beans:bean id="authenticationSuccessHandler" class="com.yitop.feng.service.security.AuthenticationSuccessHandlerImpl" />

    <beans:bean id="authenticationFailHandler" class="com.yitop.feng.service.security.AuthenticationFailHandlerImpl" />

    <!--
    authentication-manager元素指定了一个AuthenticationManager，其需要一个AuthenticationProvider来进行真正的认证，
    默认情况下authentication-provider对应一个UserDetailsService来获取用户信息(即查询数据库)。
    -->
    <authentication-manager>
        <authentication-provider user-service-ref="userService">
            <!--
            hash    指定密码加密方式 plaintext sha sha-256 md4 md5 {sha} {ssha}
                    加密算法  PasswordEncoder  实现类 plaintext PlaintextPasswordEncoder
                    sha                          ShaPasswordEncoder
                    sha-256                  ShaPasswordEncoder，使用时new ShaPasswordEncoder(256)
                    md4                         Md4PasswordEncoder
                    md5                         Md5PasswordEncoder
                    {sha}                       LdapShaPasswordEncoder
                    {ssha}                     LdapShaPasswordEncoder

            base64  表示是否需要对加密后的密码使用BASE64进行编码，默认是false
            -->
            <password-encoder hash="md5" base64="true"/>
        </authentication-provider>
    </authentication-manager>
</beans:beans>

url权限控制表达式

hasRole([role])                 当前用户是否拥有指定角色。
hasAnyRole([role1,role2])       多个角色是一个以逗号进行分隔的字符串。如果当前用户拥有指定角色中的任意一个则返回true。
hasAuthority([auth])            等同于hasRole
hasAnyAuthority([auth1,auth2])  等同于hasAnyRole
Principle                       代表当前用户的principle对象
authentication                  直接从SecurityContext获取的当前Authentication对象
permitAll                       允许所有
denyAll                         拒绝所有

注解功能

<!-- 开启注解功能 -->
<security:global-method-security jsr250-annotations="enabled"/>

@RolesAllowed({"ROLE_USER", "ROLE_ADMIN"})
public User find(int id) {
  System.out.println("find user by id............." + id);
  return null;
}

//允许ROLE_USER或ROLE_ADMIN使用find方法

//@PermitAll 允许所有
//@DenyAll  拒绝所有