Spring Security 4 是一个强大的开源框架，用于在Spring应用程序中实现用户身份验证（Authentication）和访问控制（Authorization）。本文档以简单的形式介绍了如何入门使用Spring Security 4.0.3和4.1.1版本，特别是针对那些想要构建自己的登录系统和进行Web页面权限管理的开发者。
Spring Security的核心内容包括两个主要部分：
1. **身份验证（Authentication）**：这是确定用户声称的身份的过程，Spring Security提供了多种方式来验证用户，如集成第三方身份提供商、使用内置的in-memory用户名/密码等。通过AuthenticationManager来处理这些认证请求，并由AuthenticationProviders执行实际的验证逻辑。
2. **授权（Authorization）**：决定用户是否被允许在应用中执行特定操作的过程。这涉及到定义AccessDecisionManager来处理访问控制策略，以及UserDetailsService，它负责存储和检索用户信息，以便于做出授权决策。
要将Spring Security添加到项目中，可以通过Maven在pom.xml文件中配置相应的依赖，例如添加`<dependency>`标签来引用4.0.3或4.1.1版本的Spring Security库。
文章着重讨论了两种配置方式：
- **WebSecurityJavaConfiguration**：这是一种Java配置方法，适用于所有URL都需要认证的情况。它会提供一个默认的登录页面，并内置简单的用户名/密码。这种方式更灵活，能更好地与Spring应用集成。
- **SecurityNamespaceConfiguration**：这是XML配置方式，适用于web层（Web/HTTPSecurity）和业务对象层（BusinessObject/MethodSecurity）的权限管理。通过命名空间元素，可以简洁地配置单个bean，或者更深入地定义问题域相关的配置，隐藏底层复杂性。
此外，核心组件如SecurityContextHolder和SecurityContext提供了关于当前应用安全上下文的重要信息，这对于跟踪和管理用户在应用中的权限状态至关重要。
DIY1和DIY2可能指代的是开发者可以自行设计和实现的两个实践环节，比如自定义登录页面、自定义认证和授权策略等。
Spring Security 4是一个功能强大的工具，适合开发人员根据项目需求选择合适的配置方法，为应用程序提供安全的用户管理和访问控制。理解并掌握这些概念和配置方式将有助于构建健壮的权限管理系统。
