安全框架Spring Security是什么？如何理解Spring Security的权限管理？
Posted 我是一棵卷心菜
tags:
篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了安全框架Spring Security是什么？如何理解Spring Security的权限管理？相关的知识，希望对你有一定的参考价值。
大家好，我是卷心菜。本篇主要讲解Spring Security的基本介绍和架构分析，如果您看完文章有所收获，可以三连支持博主哦~，嘻嘻。
文章目录
一、前言
🎁作者简介：在校大学生一枚，Java领域新星创作者，Java、Python正在学习中，期待和大家一起学习一起进步~
💗个人主页：我是一棵卷心菜的个人主页
🔶本文专栏：Spring Security知识学习
📕自我提醒：多学多练多思考，编程能力才能节节高！
二、Spring Security简介
-
Spring Security是⼀个功能强大、可高度定制的
身份验证和访问控制框架。它是保护基于Spring的应用程序的事实标准。 -
Spring Security是⼀个面向Java应用程序框架。与所有Spring项目⼀样，Spring Security的真正威力在于它可以轻松地扩展以满足定制需求。
三、权限管理
- 在Spring Security中，权限管理主要包括两个方面：
认证和授权。简单来说，认证就是用户的登录认证；授权就是登录成功之后，用户可以访问资源的多少。
1、什么是权限管理
基本上涉及到用户参与的系统都要进行权限管理，权限管理属于系统安全的范畴，权限管理实现对用户访问系统的控制 ，按照安全规则 或者 安全策略控制用户 可以访问而且只能访问自己被授权的资源。权限管理包括用户身份认证和授权两部分，简称认证授权。对于需要访问控制的资源用户首先经过身份认证，认证通过后用户具有该资源的访问权限才可访问。
2、什么是认证
认证 ，就是判断⼀个用户是否为合法用户的处理过程。最常用的简单身份认证方式是系统通过核对用户输入的用户名和口令（密码），看其是否与系统中存储的该用户的用户名和口令⼀致，来判断用户身份是否正确。这就好比我们登录QQ、微信、游戏账号等等需要的账号和密码~
3、什么是授权
授权 ，即访问控制，控制谁能访问哪些资源。主体进行身份认证后需要分配权限才可访问系统的资源，对于某些资源没有权限是无法访问的。这就好比学校的网站，有学生可以访问的资源，然而老师的资源学生就无法访问~
四、整体架构
在Spring Security的架构设计中， 认证 和 授权 是分开的，但无论使用什么样的认证方式。都不会影响授权，这是两个独立的存在，这种独立带来的好处之⼀，就是可以非常方便地整合⼀些外部的方案。
核心类：
1、认证
AuthenticationManager接口，在Spring Security中认证是由 AuthenticationManager 来负责的，接口定义为：
public interface AuthenticationManager
Authentication authenticate(Authentication var1)
throws AuthenticationException;
注意：当返回Authentication 时，表示认证成功；当返回AuthenticationException异常时，表示认证失败。
AuthenticationManager 主要实现类为 ProviderManager，在 ProviderManager 中管理了众多AuthenticationProvider实例。在⼀次完整的认证流程中，Spring Security允许存在多个
AuthenticationProvider ，用来实现多种认证方式，这些 AuthenticationProvider 都是由
ProviderManager 进行统⼀管理的。
Authentication接口，认证以及认证成功的信息主要是由 Authentication 的实现类进行保存的，接口定义如下：
public interface Authentication extends Principal, Serializable
Collection<? extends GrantedAuthority> getAuthorities();
Object getCredentials();
Object getDetails();
Object getPrincipal();
boolean isAuthenticated();
void setAuthenticated(boolean var1) throws IllegalArgumentException;
方法介绍：
- getAuthorities 获取用户权限信息
- getCredentials 获取用户凭证信息，⼀般指密码
- getDetails 获取用户详细信息
- getPrincipal 获取用户身份信息，用户名、用户对象等
- isAuthenticated 用户是否认证成功
SecurityContextHolder类，SecurityContextHolder 用来获取登录之后用户信息。定义如下（省略了一些属性和方法）：
public class SecurityContextHolder
public static void clearContext()
strategy.clearContext();
public static SecurityContext getContext()
return strategy.getContext();
public static int getInitializeCount()
return initializeCount;
public static void setContext(SecurityContext context)
strategy.setContext(context);
public static void setStrategyName(String strategyName)
strategyName = strategyName;
initialize();
public static SecurityContextHolderStrategy getContextHolderStrategy()
return strategy;
public static SecurityContext createEmptyContext()
return strategy.createEmptyContext();
public String toString()
return "SecurityContextHolder[strategy='" + strategyName + "'; initializeCount=" + initializeCount + "]";
- Spring Security 会将登录用户数据保存在 Session 中。但是，为了使用方便,Spring Security在此基础上还做了一些改进，其中最主要的⼀个变化就是线程绑定。
- 当用户登录成功后,Spring Security 会将登录成功的用户信息保存到SecurityContextHolder 中。SecurityContextHolder 中的数据保存默认是通过ThreadLocal 来实现的，使用ThreadLocal 创建的变量只能被当前线程访问，不能被其他线程访问和修改，也就是用户数据和请求线程绑定在⼀起。
- 当登录请求处理完毕后，Spring Security 会将 SecurityContextHolder 中的数据拿出来保存到 Session 中，同时将 SecurityContexHolder 中的数据清空。以后每当有请求到来时，Spring Security 就会先从 Session 中取出用户登录数据，保存到 SecurityContextHolder 中，方便在该请求的后续处理过程中使用，同时在请求结束时将 SecurityContextHolder 中的数据拿出来保存到 Session 中，然后将SecurityContextHolder 中的数据清空。
- 这⼀策略非常方便用户在 Controller、Service 层以及任何代码中获取当前登录用户数据。
2、授权
- 在 Spring Security 的授权体系中，有两个关键接口：
AccessDecisionManager和AccessDecisionVoter。
AccessDecisionManager (访问决策管理器)，用来决定此次访问是否被允许。接口定义如下：
public interface AccessDecisionManager
void decide(Authentication var1, Object var2, Collection<ConfigAttribute> var3) throws AccessDeniedException, InsufficientAuthenticationException;
boolean supports(ConfigAttribute var1);
boolean supports(Class<?> var1);
AccessDecisionVoter (访问决定投票器)，投票器会检查⽤户是否具备应有的角色，进而投出赞成、反对或者弃权票。接口定义如下：
public interface AccessDecisionVoter<S>
int ACCESS_GRANTED = 1;
int ACCESS_ABSTAIN = 0;
int ACCESS_DENIED = -1;
boolean supports(ConfigAttribute var1);
boolean supports(Class<?> var1);
int vote(Authentication var1, S var2, Collection<ConfigAttribute> var3);
需要注意的是：AccessDecisionManager中会挨个遍历 AccessDecisionVoter，进而决定是否允许用户访问。
ConfigAttribute，用来保存授权时的角色信息。接口定义如下：
public interface ConfigAttribute extends Serializable
String getAttribute();
- 在 Spring Security 中，用户请求⼀个资源需要的角色会被封装成一个 ConfigAttribute 对象
- 在 ConfigAttribute 中只有⼀个 getAttribute方法，该方法返回⼀个 String 字符串，就是角色的名称。⼀般来说，角色名称都带有⼀个
ROLE_前缀，投票器AccessDecisionVoter 所做的事情，其实就是比较用户所具各的角色和请求某个资源所需的 ConfigAtuibute 之间的关系。
感谢阅读，一起进步，嘻嘻~
Spring Security安全框架
今天来简单介绍一下Spring Security安全框架
简介
Spring Security 提供了基于javaEE的企业应有个你软件全面的安全服务。这里特别强调支持使用SPring框架构件的项目，Spring框架是企业软件开发javaEE方案的领导者。如果你还没有使用Spring来开发企业应用程序，我们热忱的鼓励你仔细的看一看。熟悉Spring特别是一来注入原理两帮助你更快更方便的使用Spring Security。
人们使用Spring Secruity的原因有很多，单大部分都发现了javaEE的Servlet规范或EJB规范中的安全功能缺乏典型企业应用场景所需的深度。提到这些规范，重要的是要认识到他们在WAR或EAR级别无法移植。因此如果你更换服务器环境，这里有典型的大量工作去重新配置你的应用程序员安全到新的目标环境。使用Spring Security 解决了这些问题，也为你提供许多其他有用的，可定制的安全功能。
正如你可能知道的两个应用程序的两个主要区域是“认证”和“授权”（或者访问控制）。这两个主要区域是Spring Security 的两个目标。“认证”，是建立一个他声明的主题的过程（一个“主体”一般是指用户，设备或一些可以在你的应用程序中执行动作的其他系统）。“授权”指确定一个主体是否允许在你的应用程序执行一个动作的过程。为了抵达需要授权的店，主体的身份已经有认证过程建立。这个概念是通用的而不只在Spring Security中。
在身份验证层，Spring Security 的支持多种认证模式。这些验证绝大多数都是要么由第三方提供，或由相关的标准组织，如互联网工程任务组开发。另外Spring Security 提供自己的一组认证功能。具体而言，Spring Security 目前支持所有这些技术集成的身份验证：
-
HTTP BASIC 认证头 (基于 IETF RFC-based 标准)
-
HTTP Digest 认证头 ( IETF RFC-based 标准)
-
HTTP X.509 客户端证书交换 ( IETF RFC-based 标准)
-
LDAP (一个非常常见的方法来跨平台认证需要, 尤其是在大型环境)
-
Form-based authentication (用于简单的用户界面)
-
OpenID 认证
-
Authentication based on pre-established request headers (such as Computer Associates Siteminder) 根据预先建立的请求有进行验证
-
JA-SIG Central Authentication Service (CAS，一个开源的SSO系统 )
-
Transparent authentication context propagation for Remote Method Invocation (RMI) and HttpInvoker (Spring远程协议)
-
Automatic "remember-me" authentication (你可以勾选一个框以避免预定的时间段再认证)
-
Anonymous authentication (让每一个未经验证的访问自动假设为一个特定的安全标识)
-
Run-as authentication (在一个访问应该使用不同的安全标识时非常有用)
-
Java Authentication and Authorization Service (JAAS)
-
JEE container autentication (所以如果愿你以可以任然使用容器管理的认证)
-
Kerberos
-
Java Open Source Single Sign On (JOSSO) *
-
OpenNMS Network Management Platform *
-
AppFuse *
-
AndroMDA *
-
Mule ESB *
-
Direct Web Request (DWR) *
-
Grails *
-
Tapestry *
-
JTrac *
-
Jasypt *
-
Roller *
-
Elastic Path *
-
Atlassian Crowd *
-
Your own authentication systems (see below)
-
表示由第三方提供
很多独立软件供应商，因为灵活的身份验证模式二选择Spring Security。这样做允许他们快速的集成到他们的终端客户需求的解决方案而不用进行大量工程或者改变客户的环境。如果上面的验证机制不符合你的需求，Spring Security 是一个开放的平台，要实现你 自己的验证机制检查。Spring Security 的许多企业用户需要与不遵循任何安全标准的“遗留”系统集成，Spring Security可以很好的与这类系统集成。
无论何种身份验证机制，Spring Security提供一套的授权功能。这里有三个主要的热点区域，授权web请求、授权方法是否可以被调用和授权访问单个域对象的实例。为了帮助让你分别了解这些差异，认识在Servlet规范网络模式安全的授权功能，EJB容器管理的安全性和文件系统的安全。
简单的来说 Spring Security框架可以为我们提供安全权限认证 这是一种基于 Spring AOP 和 Servlet 过滤器的安全框架。它提供全面的安全性解决方案，同时在 Web 请求级和方法调用级处理身份确认和授权。他可以给我们带来很多方便
sping这个组织中生产出来一个安全框架 ------权限安全框架
作用
将spring Security集成到我们的系统中 我们可以用它来完成系统的权限管理
a 用户名 密码认证（判断用户名是否正确）
b 授权 给予登录用户对应的访问权限
使用注意
1 登录页面提交用户名 密码表单路径 必须是 /login
入门Demo
我们先创建一个Maven工程 导入相关的POM.xml文件
<properties> <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding> <maven.compiler.source>1.7</maven.compiler.source> <maven.compiler.target>1.7</maven.compiler.target> <spring.version>4.2.4.RELEASE</spring.version> </properties> <dependencies> <dependency> <groupId>junit</groupId> <artifactId>junit</artifactId> <version>4.11</version> <scope>test</scope> </dependency> <dependency> <groupId>org.springframework</groupId> <artifactId>spring-core</artifactId> <version>${spring.version}</version> </dependency> <dependency> <groupId>org.springframework</groupId> <artifactId>spring-web</artifactId> <version>${spring.version}</version> </dependency> <dependency> <groupId>org.springframework</groupId> <artifactId>spring-webmvc</artifactId> <version>${spring.version}</version> </dependency> <dependency> <groupId>org.springframework</groupId> <artifactId>spring-context-support</artifactId> <version>${spring.version}</version> </dependency> <dependency> <groupId>org.springframework</groupId> <artifactId>spring-test</artifactId> <version>${spring.version}</version> </dependency> <dependency> <groupId>org.springframework</groupId> <artifactId>spring-jdbc</artifactId> <version>${spring.version}</version> </dependency> <dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-web</artifactId> <version>4.1.0.RELEASE</version> </dependency> <dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-config</artifactId> <version>4.1.0.RELEASE</version> </dependency> <dependency> <groupId>javax.servlet</groupId> <artifactId>servlet-api</artifactId> <version>2.5</version> <scope>provided</scope> </dependency> </dependencies>
web.xml文件
<?xml version="1.0" encoding="UTF-8"?> <web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns="http://java.sun.com/xml/ns/javaee" xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd" version="2.5"> <context-param> <param-name>contextConfigLocation</param-name> <param-value>classpath:spring-security.xml</param-value> </context-param> <listener> <listener-class> org.springframework.web.context.ContextLoaderListener </listener-class> </listener> <filter> <filter-name>springSecurityFilterChain</filter-name> <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class> </filter> <filter-mapping> <filter-name>springSecurityFilterChain</filter-name> <url-pattern>/*</url-pattern> </filter-mapping> </web-app>
spring-security.xml文件:
<?xml version="1.0" encoding="UTF-8"?> <beans:beans xmlns="http://www.springframework.org/schema/security" xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security.xsd"> <!--页面拦截规则 use-expressions属性设置 false 禁用spel 表达式 默认值true haseROLE(‘ROLE_USER‘) --> <http use-expressions="false"> <!--配置拦截路径 /**拦截所有的路径 access 设置访问这个路径所具有的 的权限 权限的写法必须以“ROLE” --> <intercept-url pattern="/**" access="ROLE_USER" /> <form-login/> </http> <!-- 认证管理器 --> <authentication-manager> <authentication-provider> <user-service> <user name="admin" password="123456" authorities="ROLE_USER"/> </user-service> </authentication-provider> </authentication-manager> </beans:beans>
然后启动tomcat 直接访问路径
这是官方给我们提供的页面 当我们输入错误的user和password时:
当我们输入配置文件中配置的user和password时
我们也可以配置自己的登录页面和错误跳转页面和登录成功跳转页面
<?xml version="1.0" encoding="UTF-8"?> <beans:beans xmlns="http://www.springframework.org/schema/security" xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security.xsd"> <!--以下页面不拦截 --> <http pattern="/login.html" security="none"></http> <http pattern="/login_error.html" security="none"></http> <!--页面拦截规则 --> <http use-expressions="false"> <!--拦截所有的路径 只有用户ROLE_USER权限才可以放行--> <intercept-url pattern="/**" access="ROLE_USER" /> <!--login-page :指定登录的页面 default-target-url指定登录成功后 访问的页面 authentication-failure-url：指定登录失败的页面--> <form-login login-page="/login.html" default-target-url="/index.html" authentication-failure-url="/login_error.html"/> <csrf disabled="true"/> </http> <!--认证管理器--> <authentication-manager> <authentication-provider> <user-service> <user name="admin" password="123456" authorities="ROLE_USER"/> </user-service> </authentication-provider> </authentication-manager> </beans:beans>
以上是关于安全框架Spring Security是什么？如何理解Spring Security的权限管理？的主要内容，如果未能解决你的问题，请参考以下文章
java web安全框架 spring security和shiro哪个好用？用的人更多？
spring security与apache shiro 权限控制安全框架,那个更实用
不用 Spring Security 可否？试试这个小而美的安全框架