Spring Security 能用于保护各种 Java 应用程序(权限管理框架). 但在基于 Web 的应用程序中使用得最为广泛.
Spring Security 能以声明的方式来保护 Web 应用程序的 URL 访问. 只需简单的配置即可实现.
Spring Security 通过一系列 Servlet 过滤器为 Web 应用程序提供多种安全服务.
1. 搭建环境:
1). 加入 jar 包: Spring 的 jar 包和 SpringSecurity 的 jar 包.
commons-logging-1.1.1.jar
spring-aop-4.0.0.RELEASE.jar
spring-beans-4.0.0.RELEASE.jar
spring-context-4.0.0.RELEASE.jar
spring-core-4.0.0.RELEASE.jar
spring-expression-4.0.0.RELEASE.jar
spring-web-4.0.0.RELEASE.jar
spring-security-config-3.1.0.M1.jar
spring-security-core-3.1.0.M1.jar
spring-security-taglibs-3.1.0.M1.jar
spring-security-web-3.1.0.M1.jar
2). web.xml 文件中的配置: 配置 Spring, 配置 SpringSecurity 的 Filter
<!-- 配置 Spring 的 Listener -->
<context-param>
<param-name>contextConfigLocation</param-name>
<param-value>
classpath:applicationContext.xml
</param-value>
</context-param>
<listener>
<listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
</listener>
<!-- 配置 SpringSecurity 的 Filter -->
<filter>
<filter-name>springSecurityFilterChain</filter-name>
<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>
<filter-mapping>
<filter-name>springSecurityFilterChain</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
3). 在 Spring 的配置文件中配置 SpringSecurity 的信息: 需要拦截的 URL, 用户信息
<!-- 配置 http 请求相关的信息 -->
<security:http auto-config="true">
<!-- 拦截的路径, 以及访问该路径需要有的权限 -->
<security:intercept-url pattern="/index.jsp" access="ROLE_USER"/>
<security:intercept-url pattern="/admin.jsp" access="ROLE_ADMIN"/>
</security:http>
<!-- 配置用户信息 -->
<security:user-service id="userSerivce">
<!-- 配置用户名, 密码, 权限 -->
<security:user name="admin" password="admin" authorities="ROLE_ADMIN, ROLE_USER"/>
<security:user name="user" password="user" authorities="ROLE_USER"/>
</security:user-service>
<!-- 配置权限管理信息 -->
<security:authentication-manager>
<!-- 使用前面配置的用户信息 -->
<security:authentication-provider user-service-ref="userSerivce">
</security:authentication-provider>
</security:authentication-manager>
