Spring Security 3.0.1中文文档：权限控制与修复

需积分: 34 51 浏览量更新于2024-07-28 收藏 726KB PDF 举报

"Spring Security-3.0.1中文官方文档是针对该版本的一个bug修复版，主要修复了3.0中的问题，并修正了文档中的拼写错误。文档介绍了Spring Security的基本概念、获取方式以及核心模块，同时也详细阐述了安全命名空间配置，包括web应用的基础配置、高级特性和扩展功能，如Remember-Me认证、HTTP/HTTPS信道安全、会话管理和OpenID支持等。" Spring Security是一个强大的、高度可定制的权限管理框架，它为Java应用程序提供了全面的安全解决方案。作为Spring生态系统的一部分，Spring Security提供了丰富的功能，包括用户认证、访问控制、会话管理以及各种安全协议的支持。 1. **Spring Security是什么？** Spring Security是一个用于构建安全Web应用程序的框架，它能够处理用户认证（登录）和授权（访问控制），并提供了防止常见攻击的保护，例如CSRF（跨站请求伪造）和XSS（跨站脚本）。 2. **获取Spring Security** 用户可以通过Maven或Gradle仓库获取Spring Security的JAR包，包括Core、Web、Config、LDAP、ACL、CAS和OpenID等模块。同时，也可以从Git仓库获取源代码进行学习和定制。 3. **安全命名空间配置** Spring Security的XML配置文件中有一个特殊的`security`命名空间，它简化了安全设置。通过这个命名空间，开发者可以轻松配置Web应用的安全特性，如自动配置、登录形式、其他认证提供器、密码编码器以及高级特性如Remember-Me服务、HTTP/HTTPS通道安全、会话管理策略等。 - **Remember-Me认证**：允许用户在一段时间内无须重新登录，提高用户体验。 - **HTTP/HTTPS信道安全**：强制特定的URL路径只能通过HTTPS访问，确保数据传输的安全性。 - **会话管理**：包括会话超时检测、同步会话控制以及防止Session固定攻击的机制，提升系统的安全性。 - **OpenID支持**：Spring Security也支持OpenID协议，允许用户使用OpenID身份提供商进行身份验证。 4. **扩展与自定义** 开发者可以根据需求添加自定义过滤器，这使得Spring Security能够适应各种复杂的业务场景，实现高度定制的安全策略。综上，Spring Security 3.0中文使用文档是开发者理解和应用这个框架的重要参考资料，它详细阐述了框架的各个方面，帮助开发者快速集成和配置安全功能，构建安全可靠的Java应用程序。

如果在进行表单登陆之前，没有试图去访问一个被保护的资源，default-target-url 就会

起

作用。这是用户登陆后会跳转到的URL ，默认是"/" 。你也可以把

always-use-default-target 属性配置成"true"，这样用户就会一直跳转到这一页（无论

登陆是“跳转过来的”还是用户特定进行登陆）。如果你的系统一直需要用户从首页进入，

就

可以使用它了，比如：

<http>

<intercept-url pattern='/login.htm*' filters='none'/>

<intercept-url pattern='/**' access='ROLE_USER' />

<form-login login-page='/login.htm' default-target-url='/home.htm'

always-use-default-target='true' />

</http>

2.2.3. 使用其他认证提供器

现实中，你会需要更大型的用户信息源，而不是写在application context 里的几个名字。

多数情况下，你会想把用户信息保存到数据库或者是LDAP 服务器里。LDAP 命名空间会

在LDAP 章里详细讨论，所以我们这里不会讲它。如果你自定义了一个Spring Security

的UserDetailsService 实现，在你的application context 中名叫

"myUserDetailsService"，然后你可以使用下面的验证。

<authentication-manager>

<authentication-provider user-service-ref='myUserDetailsService'/>

</authentication-manager>

如果你想用数据库，可以使用下面的方式

<authentication-manager>

<authentication-provider>

<jdbc-user-service data-source-ref="securityDataSource"/>

</authentication-provider>

</authentication-manager>

这里的“securityDataSource”就是DataSource bean 在application context 里的名

字，它指向了包含着Spring Security 用户信息的表。另外，你可以配置一个Spring

Security JdbcDaoImpl bean，使用user-service-ref 属性指定：

<authentication-manager>

<authentication-provider user-service-ref='myUserDetailsService'/>

</authentication-manager>

<beans:bean id="myUserDetailsService"

class="org.springframework.security.core.userdetails.jdbc.JdbcDaoImpl">

<beans:property name="dataSource" ref="dataSource"/>

</beans:bean>

你也可以使用标准的AuthenticationProvider 类，像下面

<authentication-manager>

<authentication-provider ref='myAuthenticationProvider'/>

</authentication-manager>

这里myAuthenticationProvider 是你的application context 中的一个bean 的名字，

它实现了AuthenticationProvider。查看Section 2.6, “验证管理器和命名空间”了解更多信

息， AuthenticationManager 使用命名空间在Spring Security 中是如何配置的。

2.2.3.1. 添加一个密码编码器

你的密码数据通常要使用一种散列算法进行编码。使用<password-encoder>元素支持

这个功能。使用SHA 加密密码，原始的认证供应器配置，看起来就像这样：

<authentication-manager>

<authentication-provider>

<password-encoder hash="sha"/>

<user-service>

<user name="jimi" password="d7e6351eaa13189a5a3641bab846c8e8c69ba39f"

authorities="ROLE_USER, ROLE_ADMIN" />

<user name="bob" password="4e7421b1b8765d8f9406d87e7cc6aa784c4ab97f"

authorities="ROLE_USER" />

</user-service>

</authentication-provider>

</authentication-manager>

在使用散列密码时，用盐值防止字典攻击是个好主意，Spring Security 也支持这个功能。

理想情况下，你可能想为每个用户随机生成一个盐值，不过，你可以使用从

UserDetailsService 读取出来的UserDetails 对象中的属性。比如，使用username 属

性，你可以这样用：

<password-encoder hash="sha">

<salt-source user-property="username"/>

</password-encoder>

你可以通过password-encoder 的ref 属性，指定一个自定义的密码编码器bean。这应

该包含application context 中一个bean 的名字，它应该是Spring Security 的

PasswordEncoder 接口的一个实例。

2.3. 高级web特性

2.3.1. Remember-Me认证

参考Remember-Me 章获得remember-me 命名空间配置的详细信息。

2.3.2. 添加HTTP/HTTPS信道安全

如果你的同时支持HTTP 和HTTPS 协议，然后你要求特定的URL 只能使用HTTPS，这时

可以直接使用<intercept-url>的requires-channel 属性：

<http>

<intercept-url pattern="/secure/**" access="ROLE_USER"

requires-channel="https"/>

<intercept-url pattern="/**" access="ROLE_USER" requires-channel="any"/>

...

</http>

使用了这个配置以后，如果用户通过HTTP 尝试访问"/secure/**"匹配的网址，他们会先

被重定向到HTTPS 网址下。可用的选项有"http", "https" 或"any"。使用"any"意味

着使用HTTP 或HTTPS 都可以。

如果你的程序使用的不是HTTP 或HTTPS 的标准端口，你可以用下面的方式指定端口对应

关系：

<http>

...

<port-mappings>

<port-mapping http="9080" https="9443"/>

</port-mappings>

</http>

你可以在???找到更详细的讨论。

2.3.3. 会话管理

2.3.3.1. 检测超时

你可以配置Spring Security 检测失效的session ID，并把用户转发到对应的URL。这

可以通过session-management 元素配置： <http> ... <session-management

invalid-session-url="/sessionTimeout.htm" /> </http>

2.3.3.2. 同步会话控制

如果你希望限制单个用户只能登录到你的程序一次，Spring Security 通过添加下面简单的

部分支持这个功能。首先，你需要把下面的监听器添加到你的web.xml 文件里，让Spring

Security 获得session 生存周期事件： <listener> <listener-class>

org.springframework.security.web.session.HttpSessionEventPublisher

</listener-class> </listener> 然后，在你的application context 加入如下部分：

<http>

...

<session-management>

<concurrency-control max-sessions="1" />

</session-management>

</http>

这将防止一个用户重复登录好几次-第二次登录会让第一次登录失效。通常我们更想防止第

二次登录，这时候我们可以使用

<http>

...

<session-management>

<concurrency-control max-sessions="1" error-if-maximum-exceeded="true" />

</session-management>

</http>

第二次登录将被阻止，通过“ 注入” ，我们的意思是用户会被转发到

authentication-failure-url，如果使用了form-based 登录。如果第二次验证使用了其

他非内置的机制，比如“remember-me”，一个“未认证”(402)错误就会发送给客户端。如

果你希望使用一个错误页面替代，你可以在session-management 中添加

session-authentication-error-url 属性。

如果你为form-based 登录使用了自定义认证，你就必须特别配置同步会话控制。更多的

细节可以在会话管理章节找到。

2.3.3.3. 防止Session固定攻击

Session 固定攻击是一个潜在危险，当一个恶意攻击者可以创建一个session 访问一个网站

的时候，然后说服另一个用户登录到同一个会话上（比如，发送给他们一个包含了session

标识参数的链接）。Spring Security 通过在用户登录时，创建一个新session 来防止这

个问题。如果你不需要保护，或者它与其他一些需求冲突，你可以通过使用<http>中的

session-fixation-protection 属性来配置它的行为，它有三个选项

migrateSession - 创建一个新session，把原来session 中所有属性复制到新session

中。这是默认值。

none - 什么也不做，继续使用原来的session。

newSession - 创建一个新的“干净的”session，不会复制session 中的数据。

2.3.4. 对OpenID的支持

命名空间支持OpenID 登录，替代普通的表单登录，或作为一种附加功能，只需要进行简单

的修改：

<http>

<intercept-url pattern="/**" access="ROLE_USER" />

<openid-login />

</http>

你应该注册一个OpenID 供应器（比如myopenid.com），然后把用户信息添加到你的内

存<user-service>中：

你应该可以使用myopenid.com 网站登录来进行验证了。也可能选择一个特定的

UserDetailsService bean 来使用OpenID，通过设置元素。查看上一节认证提供器获得

更多信息。请注意，上面用户配置中我们省略了密码属性，因为这里的用户数据只用来为

数据读取数据。内部会生成一个随机密码，放置我们使用用户数据时出现问题，无论在你

的配置的地方使用认证信息。

2.3.4.1. 属性交换

支持OpenID 的属性交换。作为一个例子，下面的配置会尝试从OpenID 提供器中获得

email 和全名，这些会被应用程序使用到：

<openid-login>

<attribute-exchange>

<openid-attribute name="email" type="http://axschema.org/contact/email"

required="true"

<openid-attribute name="name" type="http://axschema.org/namePerson" />

</attribute-exchange>

</openid-login>

每个OpenID 的“type”属性是一个URI，这是由特定的schema 决定的，在这个例子中

是http://axschema.org/。如果一个属性必须为了成功认证而获取，可以设置required。

确切的schema 和对属性的支持会依赖于你使用的OpenID 提供器。属性值作为认证过程

的一部分返回，可以使用下面的代码在后面的过程中获得：

OpenIDAuthenticationToken token = (OpenIDAuthenticationToken)

SecurityContextHolder.getContext().getAuthentication();

List<OpenIDAttribute> attributes = token.getAttributes();

OpenIDAttribute 包含的属性类型和获取的值（或者在多属性情况下是多个值）。我们将

看到更多关于SecurityContextHolder 如何使用的信息，只要我们在技术概述章节浏览核

心Spring Security 组件。

2.3.5. 添加你自己的filter

如果你以前使用过Spring Security，你就应该知道这个框架里维护了一个过滤器链，来提

供服务。你也许想把你自己的过滤器添加到链条的特定位置，或者使用一个Spring

Security 的过滤器，这个过滤器现在还没有在命名空间配置中进行支持（比如CAS）。或

者你想要使用一个特定版本的标准命名空间过滤器，比如<form-login> 创建的

剩余91页未读，继续阅读

mzllyl

粉丝: 1
资源: 10

Spring Security 3.0.1中文文档：权限控制与修复

Spring Security 3.0 中文参考手册

SpringSecurity 3.0翻译文档全览：从入门到精通

SpringSecurity3.0入门教程

spring security3.0帮助文档

Spring Security 3.0中文入门与定制详解

Spring Security3.0

SpringSecurity3.0 Demo

spring security3.0 spring权限问题

SpringSecurity3.0.x官方参考文档(英文+中文双解版)

spring security3.0所有最新开发包及源码及文档

最新资源