Spring Security 3.0.1 中文教程：官方文档详解

4星 · 超过85%的资源需积分: 10 194 浏览量更新于2024-07-25 收藏 1.06MB PDF 举报

"Spring_Security-3.0.1_中文自学教程.pdf 是Spring Security的3.0.1版本中文官方文档，主要针对该版本的bug修复和文档更新。文档内容涵盖Spring Security的基础知识、入门指南、配置方法，以及一些高级特性，如Remember-Me认证、HTTP/HTTPS信道安全、会话管理和OpenID支持等。" Spring Security是Spring框架的一个扩展，用于提供全面的安全管理解决方案，包括Web和方法级别的安全控制。在3.0.1版本中，它主要关注修复3.0版本中的问题，文档也进行了相应的更新，修正了拼写错误的类名。教程的入门部分介绍了Spring Security的基本概念，包括它的定义、发展历史、版本号的含义以及如何获取Spring Security的组件和源代码。Spring Security的核心组件包括spring-security-core.jar（核心服务）、spring-security-web.jar（Web安全）、spring-security-config.jar（配置支持）、spring-security-ldap.jar（LDAP集成）、spring-security-acl.jar（访问控制列表）、spring-security-cas-client.jar（CAS客户端支持）和spring-security-openid.jar（OpenID支持）。配置章节详述了Spring Security的命名空间配置，这是其简化安全配置的关键。通过在XML配置文件中使用特定的安全命名空间，开发者可以轻松地定义安全策略。初始的<http>配置可以自动配置一些基本的安全特性，如表单和基本认证。通过扩展，可以添加自定义的认证提供器、密码编码器，以及实现Remember-Me功能，增强会话管理，如检测会话超时、防止Session固定攻击，甚至支持OpenID认证，进行属性交换。此外，教程还提到了通过添加自定义过滤器来扩展Spring Security的功能，这允许开发者根据具体需求定制安全行为。这些内容为开发者提供了全面的指导，帮助他们理解和应用Spring Security来保护他们的应用程序。

如果在进行表单登陆之前，没有试图去访问一个被保护的资源，default-target-url 就会

起

作用。这是用户登陆后会跳转到的URL ，默认是"/" 。你也可以把

always-use-default-target 属性配置成"true"，这样用户就会一直跳转到这一页（无论

登陆是“跳转过来的”还是用户特定进行登陆）。如果你的系统一直需要用户从首页进入，

就

可以使用它了，比如：

<http>

<intercept-url pattern='/login.htm*' filters='none'/>

<intercept-url pattern='/**' access='ROLE_USER' />

<form-login login-page='/login.htm' default-target-url='/home.htm'

always-use-default-target='true' />

</http>

2.2.3. 使用其他认证提供器

现实中，你会需要更大型的用户信息源，而不是写在application context 里的几个名字。

多数情况下，你会想把用户信息保存到数据库或者是LDAP 服务器里。LDAP 命名空间会

在LDAP 章里详细讨论，所以我们这里不会讲它。如果你自定义了一个Spring Security

的UserDetailsService 实现，在你的application context 中名叫

"myUserDetailsService"，然后你可以使用下面的验证。

<authentication-manager>

<authentication-provider user-service-ref='myUserDetailsService'/>

</authentication-manager>

如果你想用数据库，可以使用下面的方式

<authentication-manager>

<authentication-provider>

<jdbc-user-service data-source-ref="securityDataSource"/>

</authentication-provider>

</authentication-manager>

这里的“securityDataSource”就是DataSource bean 在application context 里的名

字，它指向了包含着Spring Security 用户信息的表。另外，你可以配置一个Spring

Security JdbcDaoImpl bean，使用user-service-ref 属性指定：

<authentication-manager>

<authentication-provider user-service-ref='myUserDetailsService'/>

</authentication-manager>

<beans:bean id="myUserDetailsService"

class="org.springframework.security.core.userdetails.jdbc.JdbcDaoImpl">

<beans:property name="dataSource" ref="dataSource"/>

</beans:bean>

你也可以使用标准的AuthenticationProvider 类，像下面

<authentication-manager>

<authentication-provider ref='myAuthenticationProvider'/>

</authentication-manager>

这里myAuthenticationProvider 是你的application context 中的一个bean 的名字，

它实现了AuthenticationProvider。查看Section 2.6, “验证管理器和命名空间”了解更多信

息， AuthenticationManager 使用命名空间在Spring Security 中是如何配置的。

2.2.3.1. 添加一个密码编码器

你的密码数据通常要使用一种散列算法进行编码。使用<password-encoder>元素支持

这个功能。使用SHA 加密密码，原始的认证供应器配置，看起来就像这样：

<authentication-manager>

<authentication-provider>

<password-encoder hash="sha"/>

<user-service>

<user name="jimi" password="d7e6351eaa13189a5a3641bab846c8e8c69ba39f"

authorities="ROLE_USER, ROLE_ADMIN" />

<user name="bob" password="4e7421b1b8765d8f9406d87e7cc6aa784c4ab97f"

authorities="ROLE_USER" />

</user-service>

</authentication-provider>

</authentication-manager>

在使用散列密码时，用盐值防止字典攻击是个好主意，Spring Security 也支持这个功能。

理想情况下，你可能想为每个用户随机生成一个盐值，不过，你可以使用从

UserDetailsService 读取出来的UserDetails 对象中的属性。比如，使用username 属

性，你可以这样用：

<password-encoder hash="sha">

<salt-source user-property="username"/>

</password-encoder>

你可以通过password-encoder 的ref 属性，指定一个自定义的密码编码器bean。这应

该包含application context 中一个bean 的名字，它应该是Spring Security 的

PasswordEncoder 接口的一个实例。

2.3. 高级web特性

2.3.1. Remember-Me认证

参考Remember-Me 章获得remember-me 命名空间配置的详细信息。

2.3.2. 添加HTTP/HTTPS信道安全

如果你的同时支持HTTP 和HTTPS 协议，然后你要求特定的URL 只能使用HTTPS，这时

可以直接使用<intercept-url>的requires-channel 属性：

<http>

<intercept-url pattern="/secure/**" access="ROLE_USER"

requires-channel="https"/>

<intercept-url pattern="/**" access="ROLE_USER" requires-channel="any"/>

...

</http>

使用了这个配置以后，如果用户通过HTTP 尝试访问"/secure/**"匹配的网址，他们会先

被重定向到HTTPS 网址下。可用的选项有"http", "https" 或"any"。使用"any"意味

着使用HTTP 或HTTPS 都可以。

如果你的程序使用的不是HTTP 或HTTPS 的标准端口，你可以用下面的方式指定端口对应

关系：

<http>

...

<port-mappings>

<port-mapping http="9080" https="9443"/>

</port-mappings>

</http>

你可以在???找到更详细的讨论。

2.3.3. 会话管理

2.3.3.1. 检测超时

你可以配置Spring Security 检测失效的session ID，并把用户转发到对应的URL。这

可以通过session-management 元素配置： <http> ... <session-management

invalid-session-url="/sessionTimeout.htm" /> </http>

2.3.3.2. 同步会话控制

如果你希望限制单个用户只能登录到你的程序一次，Spring Security 通过添加下面简单的

部分支持这个功能。首先，你需要把下面的监听器添加到你的web.xml 文件里，让Spring

Security 获得session 生存周期事件： <listener> <listener-class>

org.springframework.security.web.session.HttpSessionEventPublisher

</listener-class> </listener> 然后，在你的application context 加入如下部分：

<http>

...

<session-management>

<concurrency-control max-sessions="1" />

</session-management>

</http>

这将防止一个用户重复登录好几次-第二次登录会让第一次登录失效。通常我们更想防止第

二次登录，这时候我们可以使用

<http>

...

<session-management>

<concurrency-control max-sessions="1" error-if-maximum-exceeded="true" />

</session-management>

</http>

第二次登录将被阻止，通过“ 注入” ，我们的意思是用户会被转发到

authentication-failure-url，如果使用了form-based 登录。如果第二次验证使用了其

他非内置的机制，比如“remember-me”，一个“未认证”(402)错误就会发送给客户端。如

果你希望使用一个错误页面替代，你可以在session-management 中添加

session-authentication-error-url 属性。

如果你为form-based 登录使用了自定义认证，你就必须特别配置同步会话控制。更多的

细节可以在会话管理章节找到。

2.3.3.3. 防止Session固定攻击

Session 固定攻击是一个潜在危险，当一个恶意攻击者可以创建一个session 访问一个网站

的时候，然后说服另一个用户登录到同一个会话上（比如，发送给他们一个包含了session

标识参数的链接）。Spring Security 通过在用户登录时，创建一个新session 来防止这

个问题。如果你不需要保护，或者它与其他一些需求冲突，你可以通过使用<http>中的

session-fixation-protection 属性来配置它的行为，它有三个选项

migrateSession - 创建一个新session，把原来session 中所有属性复制到新session

中。这是默认值。

none - 什么也不做，继续使用原来的session。

newSession - 创建一个新的“干净的”session，不会复制session 中的数据。

2.3.4. 对OpenID的支持

命名空间支持OpenID 登录，替代普通的表单登录，或作为一种附加功能，只需要进行简单

的修改：

<http>

<intercept-url pattern="/**" access="ROLE_USER" />

<openid-login />

</http>

你应该注册一个OpenID 供应器（比如myopenid.com），然后把用户信息添加到你的内

存<user-service>中：

你应该可以使用myopenid.com 网站登录来进行验证了。也可能选择一个特定的

UserDetailsService bean 来使用OpenID，通过设置元素。查看上一节认证提供器获得

更多信息。请注意，上面用户配置中我们省略了密码属性，因为这里的用户数据只用来为

数据读取数据。内部会生成一个随机密码，放置我们使用用户数据时出现问题，无论在你

的配置的地方使用认证信息。

2.3.4.1. 属性交换

支持OpenID 的属性交换。作为一个例子，下面的配置会尝试从OpenID 提供器中获得

email 和全名，这些会被应用程序使用到：

<openid-login>

<attribute-exchange>

<openid-attribute name="email" type="http://axschema.org/contact/email"

required="true"

<openid-attribute name="name" type="http://axschema.org/namePerson" />

</attribute-exchange>

</openid-login>

每个OpenID 的“type”属性是一个URI，这是由特定的schema 决定的，在这个例子中

是http://axschema.org/。如果一个属性必须为了成功认证而获取，可以设置required。

确切的schema 和对属性的支持会依赖于你使用的OpenID 提供器。属性值作为认证过程

的一部分返回，可以使用下面的代码在后面的过程中获得：

OpenIDAuthenticationToken token = (OpenIDAuthenticationToken)

SecurityContextHolder.getContext().getAuthentication();

List<OpenIDAttribute> attributes = token.getAttributes();

OpenIDAttribute 包含的属性类型和获取的值（或者在多属性情况下是多个值）。我们将

看到更多关于SecurityContextHolder 如何使用的信息，只要我们在技术概述章节浏览核

心Spring Security 组件。

2.3.5. 添加你自己的filter

如果你以前使用过Spring Security，你就应该知道这个框架里维护了一个过滤器链，来提

供服务。你也许想把你自己的过滤器添加到链条的特定位置，或者使用一个Spring

Security 的过滤器，这个过滤器现在还没有在命名空间配置中进行支持（比如CAS）。或

者你想要使用一个特定版本的标准命名空间过滤器，比如<form-login> 创建的

剩余91页未读，继续阅读

想成为工程师的码农

粉丝: 15
资源: 8

Spring Security 3.0.1 中文教程：官方文档详解

Spring3_权威开发指南 Spring3Security-3.0.1中文官方文档

Spring_Security-3.0.1_中文官方文档(翻译版)

spring_security3.0.1中文翻译版

Spring Security 3.0.1 pdf 中文参考文档

Spring Security 3.0.1中文官方修复版教程与获取方法

Spring Security 3.0.1中文教程：修复与指南

Spring Security 3.0.1中文官方文档

Spring Security3.0.1中文参考文档

Spring Security3.0.1参考文档

Spring Security-3中文官方文档

最新资源