查看完整版本: Acegi安全系统介绍

onions 2007-4-30 10:50

Acegi安全系统介绍

11.1  Acegi安全系统介绍3L\2M7["R
Acegi是一个能够为基于Spring的应用系统提供描述性安全保护的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring对依赖注入和面向切面编程的支持。(G ]-}%xFr`

){v9]] X I 当保护Web应用系统时，Acegi使用Servlet过滤器来拦截Servlet请求，以实施身份认证并强制安全性。并且，在第11.4.1节你将会看到，Acegi采取了一种独特的机制来声明Servlet过滤器，使你可以使用Spring IoC注入它所依赖的其他对象。.Z9V+f5R1wIU
Acegi也能够通过保护方法调用在更底层的级别上强制安全性。使用Spring AOP，Acegi代理对象，将“切面”应用于对象，以确保用户只有在拥有恰当授权时才能调用受保护的方法。
+Y"n6^H+gi
LQ4o x:znA zcZi 无论你正在保护一个Web应用程序还是需要方法调用级别的安全性，Acegi都是使用如图11.1所示的4个主要组件来实施安全性。yvZF }
[align=center][img]http://book.csdn.net/bookfiles/167/11/image002.jpg[/img][/align]
*z.o:` M0f:FV5e P [align=left][b]11.1.1  安全拦截器[/b]c2Qm_I
为了释放锁舌并打开门，你必须先把钥匙插到锁孔中，并恰当地拨动锁的制栓。如果钥匙和锁不匹配，就无法拨动制栓并释放锁舌。但如果你有正确的钥匙，所有的制栓就会接受这把钥匙，锁舌就会释放，从而允许你把门打开。[/align][align=left]|;I} uK3_}_
在Acegi中，可以认为安全拦截器像一把锁的锁舌，能够阻止对应用系统中受保护资源的访问。为了释放“锁舌”并通过安全拦截器，你必须向系统提供“钥匙”（通常是一对用户名和密码）。“钥匙”会尝试拨开安全拦截器的“制栓”，从而允许你访问受保护的资源。[/align]2X y7k;NLYT6E4I Z
[align=left][b]11.1.2  认证管理器Mz][7PhFEu
[/b]第一道必须打开的安全拦截器的制栓是认证管理器。[color=darkorange]认证管理器负责决定你是谁。[/color]它是通过考虑你的主体（通常是一个用户名）和你的凭证（通常是一个密码）做到这点的。
3H prm?0]d,XT 你的主体定义了你是谁，你的凭证是确认你身份的证据。如果你的凭证足以使认证管理器相信你的主体可以标识你的身份，Acegi就能知道它在和谁打交道。[/align]
$[(G%E2FCg2uK [align=left][b]11.1.3  访问决策管理器[/b]
F x Gqo(x:e~ [color=darkorange]一旦Acegi决定了你是谁，它就必须决定你是否拥有访问受保护的资源的恰当授权[/color]。访问决策管理器是Acegi锁中第二道必须被打开的制栓。访问决策管理器进行授权，通过考虑你的身份认证信息和与受保护资源关联的安全属性决定是否让你进入。[G[6lN [9X;|A
例如，安全规则也许规定只有主管才允许访问某个受保护资源。如果你被授予主管权限，则第二道也是最后一道制栓——访问决策管理器——会被打开，并且安全拦截器会给你让路，让你取得受保护资源的访问权。[/align]
'Ao g-\*r)G|-m c [align=left][b]11.1.4  运行身份管理器x(H5E,H ~7F`
[/b]当你通过认证管理器和访问决策管理器，安全拦截器会被开启，门已经可以被打开。但在你转动门把手进入之前，安全拦截器也许还有一件事要做。[/align][align=left]TnB)mb
即使你已经通过身份认证并且已经获得了访问被保护资源的授权，门后也许还有更多的安全限制在等着你。[/align][align=left]比如，你也许已被授权访问查看某个Web页面，但用于创建该页面的对象也许和页面本身有不同的安全需求。[/align][align=left]一个运行身份管理器可以用另一个身份替换你的身份，从而允许你访问应用系统内部更深处的受保护对象。
Prlb0k[#j}6m 运行身份管理器的用处在大多数应用系统中是有限的。幸运的是，当你使用Acegi保护应用系统时可以不必使用甚至不必完全理解运行身份管理器。因此，我们认为运行身份管理器是一个高级课题，在下文中不再深入地探讨它。[/align][align=left]R5~{4c!SFE4N
现在，你已经看到了Acegi安全性的全貌，让我们回过头来看一下如何配置Acegi安全系统的每一个部分，首先由认证管理器开始。[/align]

onions 2007-4-30 11:06

[b]11.2  管理身份验证Md;k/D:\ot
[/b][color=red]决定是否允许用户访问受保护资源的第一步是判断用户的身份。[/color]
1DSUZ_c)t&F 在大多数应用系统中，这意味着用户在一个登录屏上提供用户名和密码。用户名（或者主体）告诉应用系统用户声明自己是谁。为了确证用户的身份，用户需要同时提供一个密码（或凭证）。如果应用系统的安全机制确认密码是正确的，则系统假设用户的实际身份与他声明的身份相同。
Tf*w5Q._ [color=red]在Acegi中，是由认证管理器负责确定用户身份的[/color]。'mf7y-v:_;w
一个认证管理器由接口[b][color=teal]net.sf.acegisecurity.AuthenticationManager[/color][/b]定义：[code]public interface AuthenticationManager h6r&`'ZI#g t
{+z#d7I4~B@`"g
    public Authentication authenticate(Authentication authentication) throws AuthenticationException;
0wU|!V1L!A }[/code]认证管理器的[color=royalblue]authenticate()[/color]方法需要一个net.sf.acegisecurity.Authentication对象（其中可能只包括用户名和密码）作为参数，它会尝试验证用户身份。如果认证成功，authenticate()方法返回一个完整的Authentication对象，其中包括用户已被授予的权限（将由授权管理器使用）。如果认证失败，则它会抛出一个AuthenticationException。Og hG^t&?y

*S!P1~ tV~D 正如你所见到的，AuthenticationManager接口非常简单，而且你可以相当容易地实现自己的AuthenticationManager。[color=darkorange]但是Acegi提供了ProviderManager，作为AuthenticationManager的一个适用于大多数情形的实现。[/color]所以，我们不讨论开发自己的认证管理器，而是看一下如何使用ProviderManager。Clu"It TB}
$yA:XMS hYR
[b]11.2.1  配置ProviderManager[/b]
"]q,m'u| ProviderManager是认证管理器的一个实现，它将验证身份的责任委托给一个或多个认证提供者，如图11.2所示。3N0Li!M tY+x-F
[align=center][img]http://book.csdn.net/bookfiles/167/11/image004.jpg[/img][/align][align=center]图11.2  ProviderManager将身份验证的职责委托给一个或多个认证提供者[/align]
l@P+ysGf [align=left][color=red]ProviderManager的思路是使你能够根据多个身份管理源来认证用户。它不是依靠自己实现身份验证，而是逐一遍历一个认证提供者的集合，直到某一个认证提供者能够成功地验证该用户的身份（或者已经尝试完了该集合中所有的认证提供者）。[/color][/align][align=left][color=#ff0000][/color][/align][align=left]你可以在Spring配置文件中按如下方式配置一个ProviderManager：[/align][align=left][code]<bean id="authenticationManager"  class="net.sf.acegisecurity.providers.ProviderManager">
8{N[2nN%S0y     <property name="providers">
%fDw2E`d#zay&O       <list>
\eD Wt&H"g A         <ref bean="daoAuthenticationProvider"/>%d;N]`/wz/f'~ ?N:F,t
        <ref bean="passwordDaoProvider"/>;i(?L { \us)n1P
      </list>
7QO#Hfd.sw ^(^ F     </property>
i7}Un U%m6ki2\`   </bean>[/code][/align]
*W3P[Fqi [align=left]通过providers属性可以为ProviderManager提供一个认证提供者的列表。通常你只需要一个认证提供者，但在某些情况下，提供由若干个认证提供者组成的列表是有用的。在这种情况下，如果一个认证提供者验证身份失败，可以尝试另一个认证提供者。一个认证提供者是由net.sf.acegisecurity.provider.AuthenticationProvider接口定义的。Spring提供了若干个AuthenticationProvider的有用实现，如下表所[/align]
^-ra&ql2H$T7C%a w [align=left][table=98%][tr][td][align=center]认证提供者[/align][/td][td][align=center]目的[/align][/td][/tr][tr][td]net.sf.acegisecurity.adapters.AuthByAdapterProvider[/td][td]使用容器的适配器验证身份[/td][/tr][tr][td]net.sf.acegisecurity.providers.cas.CasAuthenticationProvider[/td][td]根据Yale中心认证服务验证身份[/td][/tr][tr][td]net.sf.acegisecurity.providers.dao.DaoAuthenticationProvider[/td][td]从数据库中获取用户信息，包括用户名和密码[/td][/tr][tr][td]net.sf.acegisecurity.providers.jaas.JaasAuthenticationProvider[/td][td]从JAAS登录配置中获取用户信息[/td][/tr][tr][td]net.sf.acegisecurity.providers.dao.PasswordDaoAuthenticationProvider[/td][td]从数据库中获取用户信息，但让底层的数据源完成实际的身份验证[/td][/tr][tr][td]net.sf.acegisecurity.providers.rcp.RemoteAuthenticationProvider[/td][td]根据远程服务验证用户身份[/td][/tr][tr][td]net.sf.acegisecurity.runas.RunAsImplAuthenticationProvider[/td][td]针对身份已经被运行身份管理器替换的用户进行认证[/td][/tr][tr][td]net.sf.acegisecurity.providers. TestingAuthenticationProvider[/td][td]用于单元测试。自动认为一个TestingAuthenticationToken是有效的。不应用于生产环境。[/td][/tr][/table][/align]Of}h"XF
你可以认为一个AuthenticationProvider是一个下属的AuthenticationManager。事实上，AuthenticationProvider接口也有一个authenticate()方法，该方法的签名与AuthenticationManager的authenticate()方法完全一样。
o c&W5a[h|9|)w j8O4Br~a H
在本节中，我们关注表11.1中列出的三个最常用的认证提供者。首先从使用DaoAuthenticationProvider进行简单的基于数据库验证身份开始。
6\;SI1g J5u
U!^#B)d#C {`R [b]11.2.2  根据数据库验证身份[/b]D f+G v8D
大多数应用系统将包括用户名和密码在内的用户信息保存在数据库中。如果这和你的情况相符，则你会发现Acegi提供的以下两个认证提供者是有用的：
6i3R3aH S8FhvcV N Q [b][color=sienna]DaoAuthenticationProvider[/color][/b]
lc7p1@%jYy6w [b][color=sienna]PasswordDaoAuthenticationProvider[/color][/b]X~1I9LrSW(I5~Tw
[b][color=#a0522d][/color][/b] /AX WTH[\@
这两个认证提供者都能使你通过将用户的主体和密码与数据库记录进行比较来验证用户身份。
ldvh(lR O [color=darkorange]两者的不同之处在于真正的身份验证是在哪里进行的。[/color]'V |X!f FT&R
[color=blue]DaoAuthenticationProvider使用Dao来获取用户名和密码，并使用它们来验证用户身份。[/color]
j'Ps[G2M5X"Sq [color=blue]而PasswordDaoAuthenticationProvider将身份验证的责任推给Dao自己完成。[/color] \'i5xuz1_t$w)I
这是一个重要的区别，等到我们在11.2.3节中讨论PasswordDaoAuthenticationProvider时，这个区别会变得更清楚。
I:]Y&w{n1D:T(S6Gd5i 9J"k9NG3c?o,q!M"W
在本节中，我们看一下如何使用DaoAuthenticationProvider根据保存在某个数据源（通常是关系数据库）中的用户信息进行简单的身份验证。
0r&y(vl:gw)\0C | 在下一节中你将看到如何使用PasswordDaoAuthenticationProvider根据一个LDAP（轻型目录访问协议）用户库进行身份验证。
| E*cJ x$u:hz4]j L3} R [ B'N
一个DaoAuthenticationProvider是一个简单的认证提供者，它使用DAO来从数据库中获取用户信息（包括用户的密码）。
*^0L,H P9a(@BG1yC9N 取得了用户名和密码之后，DaoAuthenticationProvider通过比较从数据库中获取的用户名和密码以及来自认证管理器的通过Authentication对象中传入的主体和凭证完成身份验证（见图11.3）。如果用户名和密码与主体和凭证匹配，则用户通过身份验证，同时返回给认证管理器一个已完全填充的Authentication对象。否则会抛出一个AuthenticationException，表明身份验证失败。
+R!Z:| zoCkm [align=center][img]http://book.csdn.net/bookfiles/167/11/image005.jpg[/img][/align]
p0vBX3JOG Sl ;a:Pyx|'S(Qc
配置一个DaoAuthenticationProvider再简单不过了。下一段XML摘要显示了如何声明一个DaoAuthenticationProvider 7]aoi Khf
Bean，并且装配上它所依赖的DAO。D r(en&Kn*{
[code]*o5Z;`q _\
<bean id="authenticationProvider" class="net.sf.acegisecurity. providers.dao.DaoAuthenticationProvider">ZOQ.I C#U
    <property name="authenticationDao">Bn4fB~2?2y n
      <ref bean="authenticationDao"/>
]"ZhEP"V nKI_     </property>
9MK{!?$C;n0Ml:}   </bean>
`!j jv S)A#N [/code]
*S#dF;T&r#M$g/P 属性authenticationDao指定了一个用于从数据库中获取用户信息的Bean。这个属性期望赋予一个net.sf.acegisecurity.providers.dao.AuthenticationDao的实例。接下来的问题就是该如何配置authenticationDaoBean了。
:jbZ.~] u *[W&oD4tb;I)~
Acegi提供了两个可供选择的AuthenticationDao的实例：InMemoryDaoImpl和JdbcDaoImpl。我们首先配置一个InMemoryDaoImpl作为authenticationDao Bean的实例，然后再使用更实用的JdbcDaoImpl替换它。9S0M"[,zb
xDA-_ JD5l U#b
使用内存DAO1HxBZk8Z&{#k2K
尽管假定AuthenticationDao对象总是通过查询关系数据库获取用户信息是一种自然的想法，事实情形却不必总是如此。如果你的应用系统的身份验证需求是微不足道的，或者是为了开发期间方便起见，也许更简单的做法是在Spring配置文件中直接配置你的用户信息。9D,^B1X'L/R
为此，[color=darkorange]Acegi提供了InMemoryDaoImpl，一个从Spring配置文件中获取用户信息的AuthenticationDao[/color]。你能够在Spring配置文件中通过以下方式配置一个InMemoryDaoImpl：
/B p9ck'a t/iY [code]&w"Rn,iS,rI
<bean id="authenticationDao" class="net.sf.acegisecurity. providers.dao.memory.InMemoryDaoImpl">
{z t8p'US Qsbm/D%P     <property name="userMap">e9VT j3}|x*C
      <value>
v)|+rR Rw Zs         palmerd=4moreyears,ROLE_PRESIDENT
"K&W4_ec K         bauerj=ineedsleep,ROLE_FIELD_OPS,ROLE_DIRECTORQ.W0ixW,n
        myersn=traitor,disabled,ROLE_CENTRAL_OPS
?;kKN7O       </value>
1]pM_+~W     </property>
,v$s.L Y;A9\ xNs a   </bean>
[-a:q7n.G [/code]
R4Ny'_H2Va7Cn(\ 属性userMap使用一个net.sf.acegisecurity.providers.dao.memory.UserMap对象来定义一组用户名、密码和权限。幸运的是，当装配一个InMemoryDaoImpl时，你不必为配置一个UserMap实例而操心，因为Acegi提供了一个属性编辑器，它能够帮你把一个字符串转化为一个UserMap对象。.Jd L$C Sj6a1cA
userMap字符串的每一行都是一个名字—值对，其中名字是用户名，值是一个由逗号分隔的列表，它以用户名密码开头，后面跟着一个或多个赋予该用户的权限的名字（可以将权限看作角色）。p| WJ @+d \3O
imF)Y3w&@*@#HH~ oX
[color=blue]Myersn=traitor, disabled,ROLE_CENTRAL_OPS[/color]
n*[-u+M Lv4G $k0A'`z}}P:O
以上的authenticationDao声明中定义了三个用户：palmerd、bauerj和myersn。这三个用户的密码分别是4moreyears、ineedsleep、和traitor。用户palmerd被定义为拥有权限ROLE_PRESIDENT，bauerj被赋予权限ROLE_FIELD_OPS和ROLE_DIRECTOR，并且用户myersn被给予ROLE_CENTRAL_OPS授权。
z5P0b:j7L)ca#c,S Uw5S4Wx:B8H
[color=darkorange]注意用户myersn的密码后面有disabled这个单词。这是一个特殊的标志，表明该用户已被禁用。id8o$b?$FV\3q[{0px
[/color]InMemoryDaoImpl有明显的局限性。最主要的一点是，对安全性进行管理时要求你重新编辑Spring的配置文件并且重新部署应用。虽然在开发环境下这是可以接受的（而且可能还是有帮助的），但对于生产用途而言这种做法就太笨拙了。因此，我们强烈反对在生产环境下使用InMemoryDaoImpl，而是应该考虑使用JdbcDaoImpl。X(f&Hn*l#Cx

-mc#q4r6{ [b]声明一个JDBC DAO[/b]
8}?XAbp jH]/DP JdbcDaoImpl是一个简单而灵活的认证DAO。以它最简单的形式，只需要一个javax.sql.DataSource对象的引用，可以通过以下方式在Spring配置文件中进行声明： l)p Yg3lB q
[code]4q*X~zu7c
  <bean id="authenticationDao"  class="net.sf.acegisecurity.providers.dao.jdbc.JdbcDaoImpl">
6Vk9m(le     <property name="dataSource">lg5]Z'c)k&w J9Q7Cw*K
      <ref bean="dataSource"/>7m KYhq&n[F.Q
    </property>
$d;B4]z+oE:\ G8P   </bean>0\6g`)RV0~@
[/code]
w t o]Z2H JdbcDaoImpl假设你在数据库中已经建立了某些用于存放用户信息的表。 u6v9u `9gM5t F
特别地，它假设有一张“Users”表和一张“授权”表，如图11.4所示。+i@v%U`~8Zm x2Af%c
[align=center][img]http://book.csdn.net/bookfiles/167/11/image010.jpg[/img][/align][align=left]当JdbcDaoImpl查找用户信息时，它会使用“SELECT username，password，enabled FROM users WHERE
.Ql o+Y+d }(W username = ?”作为查询语句。类似地，当查找授权时，它会使用“SELECT username，authority FROM authorities S^x!`{$[5i0e
WHERE username = ?”。[/align]f Ih7A\p;d
[align=left]尽管JdbcDaoImpl假定的表结构非常直接，它们很可能与你已经为应用系统建立的表结构不一致。比如，在Spring培训应用中，Student表保存用户名（在login列中）和密码。是否这意味着你无法在Spring培训应用中使用JdbcDaoImpl来验证学生的身份？
3y#Vf{\P 当然不是。但你必须通过设置usersByUserNameQuery属性告诉JdbcDaoImpl如何找到用户信息。下面是对authenticationDao Bean的调整使它更适合Spring培训应用：[/align][align=left][code]
wZ-M t9K'X9C   <bean id="authenticationDao"  class="net.sf.acegisecurity.providers.dao.jdbc.JdbcDaoImpl">xf1S7{C y ^(x M$Oo
    <property name="dataSource">
2q6q;}@i*m)f       <ref bean="dataSource"/>
D9[I8o\1U{Q/qu_     </property>
)i{c7CQt     <property name="usersByUserNameQuery"> oU&eB%KZ
      <value>SELECT login, password FROM student WHERE login=?</value>
2xk hmkE0D.j     </property>
e7LM!Ts2~,D   </bean>
0R5`m@$| [/code][/align][align=left]现在JdbcDaoImpl知道如何在Student表中查找用户的认证信息了。[/align][align=left]但是，还有一件事遗漏了。Student表中没有标志表明用户是使能的还是禁用的。事实上，我们一直假设所有的学生都是使能的。但我们如何告诉JdbcDaoImpl做同样的假设？[/align]uuF tY#J3P
[align=left]JdbcDaoImpl还有一个usersByUserNameMapping属性，它引用一个MappingSqlQuery实例。[/align][align=left]正如你回忆起第4章中所介绍的，MappingSqlQuery的mapRow()方法将一个ResultSet中的字段映射为一个领域对象。[/align][align=left]对于JdbcDaoImpl，提供给usersByUserNameMapping属性的MappingSqlQuery对象要求能够将一个ResultSet（通过执行用户查询获得）转换为一个net.sf.acegisecurity.UserDetails对象。
xpL2b5EA3o UsersByUserNameMapping（程序清单11.1）显示了一个MappingSqlQuery的实现，它适合将学生用户表的一个查询结果转换为一个UserDetails对象。它从ResultSet中抽取出username和password，但总是设置enabled属性为true。[/align][align=left]程序清单11.1  将学生查询的结果映射为一个UserDetails对象[/align][align=left][code]_ Y(}rL:T!`:Q
public class UsersByUsernameMapping extends MappingSqlQuery
Vb.r.X&W]6z)W nvn {
6A UMW4@(o ` D     protected UsersByUsernameMapping(DataSource dataSource)
+a eS8C![|    {
l VHIXP)n7N*N*a3q       super(dataSource, usersByUsernameQuery);
/gv'vkHm       declareParameter(new SqlParameter(Types.VARCHAR));
"AW_,Fu,l"J7{I       compile();
gYZ{3mvx9r     } t/x#F#x#z%t,FL2G

*t;oXK zCRx^!Q%E     protected Object mapRow(ResultSet rs, int rownum)  throws SQLException
_\%I MP1tJnJ    {CK(S!E7|
      String username = rs.getString(1);6b6z[-f${6|4a/h
      String password = rs.getString(2);
3x w8|Z5O#F,AD)x2Kk
FISCJ-x&S       UserDetails user = new User(username, password, true,
'k[#S%yb            new GrantedAuthority[]-t_4aa&?w
                {new GrantedAuthorityImpl("HOLDER")});
$pd:DFq        return user; jY G8Xl+_*p:]'M
    }M*y,wM{
  }_ b$R`;c%KW
[/code][/align][align=left]剩下惟一需要做的事就是声明一个UsersByUsernameMapping
4\kK/l? Bean，并将它装配到usersByUserNameMapping属性中。以下的authenticationDao 'x1@\[ c$BY_8U/r
Bean的声明将一个内部Bean装配至usersByUserNameMapping属性中，从而可以应用新的用户映射：[/align][align=left][code]
$uj"e}g-| d   <bean id="authenticationDao" class="net.sf.acegisecurity.providers.dao.jdbc.JdbcDaoImpl">
(RVsDn*|&I     <property name="dataSource">[)fLx t
      <ref bean="dataSource"/>
2a.p OSnk]:t     </property>
y(l3O:p3RY \(@l c;b     <property name="usersByUserNameQuery">r!J-D-w/\2BK Uu
      <value>SELECT login, password   FROM student WHERE login=?</value>
N6\3hc$jo){     </property>
^l-p!S l8_q l     <property name="usersByUserNameMapping">
4Jz9Tz e       <bean class= "com.springinaction.training.security.UsersByUsernameMapping"/>
?&oF\4bk8k`     </property>
$Zh*l%@Dl5GL/n   </bean>)mBd$D%D8L~.y)rP
[/code][/align][align=left]你也能改变JdbcDaoImpl查询用户权限的方式。与属性usersByUserNameQuery和usersByUserNameMapping定义JdbcDaoImpl如何查询用户认证信息相同，属性authoritiesByUserNameQuery和authoritiesByUserNameMapping告诉JdbcDaoImpl如何查询用户的权限：例如，你可以使用以下代码从user_privileges表中查询已授予一个用户的权限。[/align][align=left][code];O4@O G,Bpk EZ.J
<bean id="authenticationDao"  class="net.sf.acegisecurity.providers.dao.jdbc.JdbcDaoImpl">,b,Pc F-{,Q w
    <property name="dataSource">
n#?)t'J*W#sYm/~       <ref bean="dataSource"/>G\o*I.S'}| Jh
    </property>W7_F-Qd2q.nZ#z
    <property name="usersByUserNameQuery">
K%d&t:_6UXm*t       <value>SELECT login, password  FROM student WHERE login=?</value>
?"N$c)m v5Fpt\Y     </property>
jpb:\ Gd!T+Q3I     <property name="usersByUserNameMapping">
qG\8K M(h"@yq       <bean class="com.springinaction.training.security.UsersByUsernameMapping"/>
8a9k?i?3w     </property>'V(Db Vu4~Ex
    <property name="authoritiesByUserNameQuery"> YB[)i*U$ij/f$j
      <value>SELECT login, privilege FROM user_privileges where login=?</value>
*]^0wVYtWq5N,YB     </property>6ri;{HJ2K Zhy(W
  </bean>'n8k)?2Mq*Lxz
[/code][/align][align=left]你也可以将属性authoritiesByUserNameMapping设置成一个定制的MappingSqlQuery对象，从而可以定制权限查询的结果如何映射为一个net.sf.acegisecurity.GrantedAuthority对象。但是，由于默认的MappingSqlQuery对上面给出的查询来说已经足矣，我们就不再画蛇添足了。[/align]
"j"kLy"tM [align=left]使用加密的密码-V)WXH,Oy:w$Q&m
默认地，DaoAuthenticationProvider假设用户的密码是以明文方式（未加密的方式）存储的。但在与从数据库中取出的密码进行比较之前，可以使用一个密码编码器加密用户输入的明文密码。Acegi提供了三个密码编码器：[/align]
\:]&Y9h zIZa C2C [align=left][b][color=darkred]PlaintextPasswordEncoder[/color][/b]（默认）——不对密码进行编码，直接返回未经改变的密码；|/[.]$mlL8}4~d
[b][color=darkred]Md5PasswordEncoder[/color][/b] ——对密码进行消息摘要（MD5）编码；xzG B0W-xf Y
[b][color=darkred]ShaPasswordEncoder[/color][/b] ——对密码进行安全哈希算法（SHA）编码。[/align][align=left]你可以通过设置DaoAuthenticationProvider的passwordEncoder属性改变它的密码编码器。例如，要使用MD5编码可以用以下代码：[/align][align=left][code]*Z:^rk,Ne9gC2[L
<property name="passwordEncoder">D^'P6B3S
    <bean class= "net.sf.acegisecurity.providers.encoding.Md5PasswordEncoder"/>N4AD*f:qk3sG
  </property>0HDd#rO(P
[/code][/align][align=left]你也需要设置编码器的种子源（salt source）。一个种子源为编码提供种子（salt），或者称编码的密钥。Acegi提供两个种子源：[/align]f4L+G0jA)DH/]x
[align=left][b][color=darkred]ReflectionSaltSource[/color][/b]——使用用户的User对象中某个指定的属性来获取种子；[/align][align=left][b][color=darkred]SystemWideSaltSource[/color][/b]——对系统中所有用户使用相同的种子。
JO)@+pP,j [b][color=darkred]SystemWideSaltSource[/color][/b]适用于大多数情形。以下一段XML将一个SystemWideSaltSource装配到DaoAuthenticationProvider的saltSource属性中：[/align][align=left][code]Y!?.?o,R.lm9_@2m%r
  <property name="saltSource">
F-k#N$gY+F!W0FE     <bean class= "net.sf.acegisecurity.providers.dao.SystemWideSaltSource">
j'S4aGX r,UR%kU       <property name="systemWideSalt">o*vB/S4toz J(@
        <value>123XYZ</value>
3h6EO:k0U j,C6Y       </property> s d}s#PG"X;e#ZY
    </bean>SW-M.MAk5@v
  </property>#um+\d}V$AIr F
[/code][/align][align=left]ReflectionSaltSource使用用户对象的某个特定属性作为用户密码的编码种子。由于这意味着每个用户的密码都会以不同的方式编码，因此更安全。若要装配一个ReflectionSaltSource，可以通过如下方式将它装配到saltSource属性中：[/align][align=left][code] B4^N0Z$]_.J+v
  <property name="saltSource">Pj$pwcm9x }z;X6x{b
    <bean class="net.sf.acegisecurity.providers.dao.ReflectionSaltSource">!_:[qLb9e |)q,_
      <property name="userPropertyToUse">YfD$W.P;a5W!s3FN
        <value>userName</value>
$zPyF)XO       </property>C"g `T|z:nGQ,G!e-O
    </bean>#s5Tt'm&h'~'v%c |] T~
  </property> ^7[h8\h
[/code][/align][align=left]
7u7t~%p!KA/kY 在这里，用户的userName属性被用作种子来加密用户的密码。要特别重视的是必须保证种子是静态的，永远不会改变；否则，一旦种子改变，就再也不可能对用户身份进行验证了。[/align][align=left]
8{j#Yzd0p.j [b]缓存用户信息
/g3s;AUq r(L1V^ VU [/b]每次当请求一个受保护的资源时，认证管理器就被调用以获取用户的安全信息。但如果获取用户信息涉及到查询数据库，每次都查询相同的数据可能在性能上表现得很糟糕。注意到用户信息不会频繁改变，也许更好的做法是在第一次查询时缓存用户信息，并在后续的查询中直接从缓存中获取用户信息。[/align][align=left]
n o[;dP3V-Gu ] [b][color=darkred]DaoAuthenticationProvider通过net.sf.acegisecurity.providers.dao.UserCache[/color][/b]接口的实现类支持对用户信息进行缓存。[/align][align=left][code];T8t.QJiz
  public interface UserCache {
}z}Wu-Ms     public UserDetails getUserFromCache(String username); O a_ H$k#^.t)T
    public void putUserInCache(UserDetails user);;\ c[,n*I5D4e
    public void removeUserFromCache(String username);R;?z8O_"U
  }
[/se2[L@-osp*y [/code][/align][align=left]顾名思义，接口UserCache中方法提供了向缓存中放入、取得和删除用户明细信息的功能。写一个你自己的UserCache实现类是相当简单的。然而，在你考虑开发自己的UserCache实现类之前，应该首先考虑Acegi提供的两个方便的UserCache实现类：[/align][align=left][b][color=darkred]net.sf.acegisecurity.providers.dao.cache.NullUserCache T%^ NO\*M0DP|
net.sf.acegisecurity.providers.dao.cache.EhCacheBasedUserCache[/color][/b][/align][align=left][b][color=#8b0000][/color][/b] [/align][align=left]NullUserCache事实上不进行任何缓存。任何时候调用它的getUserFromCache方法，得到的返回值都是null。这是DaoAuthenticationProvider使用的默认UserCache实现。[/align]xLNN.Xad7ZJ L
[align=left]EhCacheBasedUserCache是一个更实用的缓存实现。类如其名，它是基于开源项目ehcache实现的。ehcache是一个简单快速的针对Java的缓存解决方案，同时也是Hibernate默认的和推荐的缓存方案。（关于ehcache的更多信息，请访问ehcache的网站 [url=http://ehcache.sourceforge.net]http://ehcache.sourceforge.net[/url]）[/align][align=left]b7Rl4`v4a!c
在DaoAuthenticationProvider中使用ehcache是很简单的，只需要简单地声明一个EhCacheBasedUserCase Bean即可：[/align][align=left][code]
5YEmRT%DrMU <bean id="userCache" class="net.sf.acegisecurity.providers.dao.cache.EhCacheBasedUserCache">GlY3fjq0C
    <property name="minutesToIdle">15</property>
;q{4B&a4t(J7v   </bean>
Gq$V!H@y [/code][/align][align=left]属性minutesToIdle告诉缓存器一条用户信息在没有访问的情况下应该在缓存中保存多久。这里，我们设定在15分钟的非活动期后删除该条用户信息。[/align][align=left]
/k}(QfZ$@1b 声明了userCache Bean之后，下面惟一要做的事就是把它装配到DaoAuthenticationProvider的userCache属性中：[/align][align=left][code],`pmbU'e
  <bean id="authenticationProvider" class="net.sf.acegisecurity.providers.dao.DaoAuthenticationProvider">[ `Z:a'YP0}FBe v
    <property name="userCache">2w#XIG%R ~
      <ref bean="userCache"/>
;p R0\D:WOr     </property>9Z4H d*{elo ef
  </bean>
_~]F[%X [/code][/align]

CANON10 2008-4-12 02:24

什么样的彩色数码短版印刷机适合您

*** 作者被禁止或删除 内容自动屏蔽 ***
页: [1]
查看完整版本: Acegi安全系统介绍