最近公司要做开发平台,对安全要求比较高;SPRING SECURTIY框架刚好对所有安全问题都有涉及,框架的作者最近还做了spring-session项目实现分布式会话管理,还有他的另一个开源项目spring-security-oauth2。           关于spring-security的配置方法,网上有非常多的介绍,大都是基于XML配置,配置项目非常多,阅读和扩展都不方便。其实spring-security也有基于java的配置方式,今天就讲讲如何通过java配置方式,扩展spring-security实现权限配置全部从表中读取。 
    直接上代码: 
application.properties配置文件

  1. privilesByUsernameQuery= select  authority from user_authorities  where username = ?
  2. allUrlAuthoritiesQuery=SELECT authority_id , url   FROM Url_Authorities

javaconfig

  1. /**
  2. *
  3. */
  4. package com.sivalabs.springapp.config;
  5. import java.util.List;
  6. import javax.annotation.Resource;
  7. import org.springframework.beans.factory.annotation.Autowired;
  8. import org.springframework.context.annotation.Bean;
  9. import org.springframework.context.annotation.Configuration;
  10. import org.springframework.core.env.Environment;
  11. import org.springframework.jdbc.core.JdbcTemplate;
  12. import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
  13. //import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
  14. import org.springframework.security.config.annotation.web.builders.HttpSecurity;
  15. import org.springframework.security.config.annotation.web.builders.WebSecurity;
  16. import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
  17. import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
  18. import org.springframework.util.StringUtils;
  19. import com.sivalabs.springapp.entities.UrlAuthority;
  20. import com.sivalabs.springapp.repositories.UserRepository;
  21. /**
  22. * @author tony
  23. *
  24. */
  25. @Configuration
  26. @EnableWebSecurity(debug = true)
  27. // @EnableGlobalMethodSecurity(prePostEnabled = true)
  28. // @ImportResource("classpath:applicationContext-security.xml")
  29. public class SecurityConfig extends WebSecurityConfigurerAdapter {
  30. @Autowired
  31. JdbcTemplate jdbcTemplate ;
  32. @Autowired
  33. private Environment env;
  34. @Bean
  35. CustomUserDetailsService customUserDetailsService() {
  36. //==================application.properties文件中配置2个SQL=============
  37. //privilesByUsernameQuery= select  authority from user_authorities  where username = ?
  38. //allUrlAuthoritiesQuery=SELECT authority_id , url   FROM Url_Authorities
  39. String privilesByUsernameQuery = env.getProperty("privilesByUsernameQuery");
  40. String allUrlAuthoritiesQuery = env.getProperty("allUrlAuthoritiesQuery");
  41. CustomUserDetailsService customUserDetailsService = new CustomUserDetailsService();
  42. customUserDetailsService.setJdbcTemplate(jdbcTemplate);
  43. customUserDetailsService.setEnableGroups(false);
  44. //根据登录ID,查登录用户的所有权限
  45. if(StringUtils.hasLength(privilesByUsernameQuery))
  46. customUserDetailsService.setAuthoritiesByUsernameQuery(privilesByUsernameQuery);
  47. //所有URL与权限的对应关系
  48. if(StringUtils.hasLength(privilesByUsernameQuery))
  49. customUserDetailsService.setAllUrlAuthoritiesQuery(allUrlAuthoritiesQuery);
  50. return customUserDetailsService;
  51. }
  52. @Resource(name = "userRepository")
  53. private UserRepository userRepository;
  54. @Override
  55. protected void configure(AuthenticationManagerBuilder registry)
  56. throws Exception {
  57. /*
  58. * registry .inMemoryAuthentication() .withUser("siva") // #1
  59. * .password("siva") .roles("USER") .and() .withUser("admin") // #2
  60. * .password("admin") .roles("ADMIN","USER");
  61. */
  62. // registry.jdbcAuthentication().dataSource(dataSource);
  63. registry.userDetailsService(customUserDetailsService());
  64. }
  65. @Override
  66. public void configure(WebSecurity web) throws Exception {
  67. web.ignoring().antMatchers("/resources/**"); // #3web
  68. }
  69. // AntPathRequestMatcher --> AntPathRequestMatcher --->AntPathMatcher
  70. @Override
  71. protected void configure(HttpSecurity http) throws Exception {
  72. //1.登录注册等URL不要身份验证
  73. http.csrf().disable().authorizeRequests()
  74. .antMatchers("/login", "/login/form**", "/register", "/logout")
  75. .permitAll() // #4
  76. .antMatchers("/admin", "/admin/**").hasRole("ADMIN"); // #6
  77. //2. 从数据库中读取所有需要权限控制的URL资源,注意当新增URL控制时,需要重启服务
  78. List<UrlAuthority> urlAuthorities = customUserDetailsService().loadUrlAuthorities();
  79. for (UrlAuthority urlAuthority : urlAuthorities) {
  80. http.authorizeRequests().antMatchers(urlAuthority.getUrl()).hasAuthority(String.valueOf(urlAuthority.getId()));
  81. }
  82. //3. 除1,2两个步骤验证之外的URL资源,只要身份认证即可访问
  83. http.authorizeRequests().anyRequest().authenticated() // 7
  84. .and().formLogin() // #8
  85. .loginPage("/login/form") // #9
  86. .loginProcessingUrl("/login").defaultSuccessUrl("/welcome") // #defaultSuccessUrl
  87. .failureUrl("/login/form?error").permitAll(); // #5
  88. }
  89. }

1.读取数据库中的URL资源对应的权限列表  2.读取登录用户拥有的权限列表

  1. /**
  2. *
  3. */
  4. package com.sivalabs.springapp.config;
  5. import java.sql.ResultSet;
  6. import java.sql.SQLException;
  7. import java.util.List;
  8. import org.springframework.jdbc.core.RowMapper;
  9. import org.springframework.security.core.GrantedAuthority;
  10. import org.springframework.security.core.authority.SimpleGrantedAuthority;
  11. import org.springframework.security.core.userdetails.jdbc.JdbcDaoImpl;
  12. import com.sivalabs.springapp.entities.UrlAuthority;
  13. /**
  14. * @author tony
  15. *
  16. */
  17. public class CustomUserDetailsService extends JdbcDaoImpl{
  18. private String allUrlAuthoritiesQuery ;
  19. /**
  20. * 从数据库中读取所有需要权限控制的URL资源,注意当新增URL控制时,需要重启服务
  21. */
  22. public List<UrlAuthority> loadUrlAuthorities( ) {
  23. return getJdbcTemplate().query(allUrlAuthoritiesQuery,  new RowMapper<UrlAuthority>() {
  24. public UrlAuthority mapRow(ResultSet rs, int rowNum) throws SQLException {
  25. return new UrlAuthority (rs.getInt(1),rs.getString(2));
  26. }
  27. });
  28. }
  29. /**
  30. *  从数据库中读取用户权限
  31. * Loads authorities by executing the SQL from <tt>authoritiesByUsernameQuery</tt>.
  32. * @return a list of GrantedAuthority objects for the user
  33. */
  34. protected List<GrantedAuthority> loadUserAuthorities(String username) {
  35. return getJdbcTemplate().query(super.getAuthoritiesByUsernameQuery(), new String[] {username}, new RowMapper<GrantedAuthority>() {
  36. public GrantedAuthority mapRow(ResultSet rs, int rowNum) throws SQLException {
  37. String roleName =  rs.getString(1);
  38. return new SimpleGrantedAuthority(roleName);
  39. }
  40. });
  41. }
  42. public void setAllUrlAuthoritiesQuery(String allUrlAuthoritiesQuery) {
  43. this.allUrlAuthoritiesQuery = allUrlAuthoritiesQuery;
  44. }
  45. }

测试数据及案例见  http://note.youdao.com/share/?id=c20e348d9a08504cd3ac1c7c58d1026e&type=note 
spring-security-oauth2  http://www.mvnrepository.com/artifact/org.springframework.security.oauth/spring-security-oauth2 
Maven Repository: org.springframework.session » spring-session  http://www.mvnrepository.com/artifact/org.springframework.session/spring-session

http://json20080301.iteye.com/blog/2190711

spring-security3.2.5实现中国式安全管理(转)的更多相关文章

  1. Spring Security3学习实例

    Spring Security是什么? Spring Security,这是一种基于Spring AOP和Servlet过滤器的安全框架.它提供全面的安全性解决方案,同时在Web请求级和方法调用级处理 ...

  2. Spring security3

    最近一直在学习spring security3,试着搭建了环境: 构建maven环境 项目配置pom.xml文件 <project xmlns="http://maven.apache ...

  3. Spring Security3实现,权限动态获取

    Spring Security3实现,权限动态获取 原文  http://blog.csdn.net/yangwei19680827/article/details/9359113 主题 网络安全Sp ...

  4. Spring Security3详细配置

    Spring Security3详细配置 表名:RESOURCE 解释:资源表备注: 资源表 RESOURCE(资源表) 是否主键 字段名 字段描述 数据类型 长度 可空 约束 缺省值 备注 是 ID ...

  5. Spring Security3 - MVC 整合教程

    下面我们将实现关于Spring Security3的一系列教程.  最终的目标是整合Spring Security + Spring3MVC  完成类似于SpringSide3中mini-web的功能 ...

  6. JavaEE学习之Spring Security3.x——模拟数据库实现用户,权限,资源的管理

    一.引言 因项目需要最近研究了下Spring Security3.x,并模拟数据库实现用户,权限,资源的管理. 二.准备 1.了解一些Spring MVC相关知识: 2.了解一些AOP相关知识: 3. ...

  7. Spring Security3十五日研究(转载)

    前言 南朝<述异记>中记载,晋王质上山砍柴,见二童子下棋,未看完,斧柄已烂,下山回村,闻同代人都去世了,自已还未变老.    因此发出“山中方一日,世上几千年” 的慨叹.原文寥寥几笔,读来 ...

  8. spring security3.1配置比较纠结的2个问题

    转自:http://www.iteye.com/topic/1122629 总论无疑问的,spring security在怎么保护网页应用安全上做得很强很周全,但有些地方还是很差强人意,比如对< ...

  9. 使用Spring Security3的四种方法概述

    使用Spring Security3的四种方法概述 那么在Spring Security3的使用中,有4种方法: 一种是全部利用配置文件,将用户.权限.资源(url)硬编码在xml文件中,已经实现过, ...

  10. Spring Security3中的-authentication-manager标签详解

    讲解完http标签的解析过程,authentication-manager标签解析部分就很容易理解了 authentication-manager标签在spring的配置文件中的定义一般如下 < ...

随机推荐

  1. hdu5336 Walk Out

    hdu5336 Walk Out 题意是:入口:地图的左上角,出口,地图的右上角,求所经过的路径的二进制数最小 照着题解敲了一遍 思路是:首先 二进制 的 位数 越小 越好,其次 二进制的前缀零越多 ...

  2. 用lisp来让计算机学会写作

    大部分的代码.思路参考了<Ansi Common Lisp>P138~P141. 问题:给一篇英文文本,如何让计算机依据此文本而生成随机但可读的文本.如: |Venture| The Na ...

  3. java实现文件传输

    在windows下装了个linux虚拟机,两者之间传输文件挺麻烦的.写了个简单的文件传输程序,来方便自己数据传送. server 端: import java.io.BufferedReader;im ...

  4. 调整系统的inode数量

    inode节点中,记录了文件的类型.大小.权限.所有者.文件连接的数目.创建时间与更新时间等重要的信息,还有一个比较重要的内容就是指向数据块的指针. 一般情况不需要特殊配置,如果存放文件很多,需要配置 ...

  5. Python源码学习十一 一个常用的内存分配函数

    void * _PyObject_DebugMallocApi(char id, size_t nbytes) { uchar *p; /* base address of malloc'ed blo ...

  6. mfc修改应用程序外观

    1.在窗口创建前修改窗体外观 在BOOL CMainFrame::PreCreateWindow(CREATESTRUCT& cs)函数中修改,其中CREATESTRUCT结构中有诸如窗口大小 ...

  7. 浏览器打开URL的方式和加载过程

    不同浏览器的工作方式不完全一样,大体上,浏览器的核心是浏览器引擎,目前市场占有率最高的几种浏览器几乎都使用了不同的浏览器引擎:IE使用的是Trident.Firefox使用的是Gecko.Safari ...

  8. UVALive 2519 Radar Installation 雷达扫描 区间选点问题

    题意:在坐标轴中给出n个岛屿的坐标,以及雷达的扫描距离,要求在y=0线上放尽量少的雷达能够覆盖全部岛屿. 很明显的区间选点问题. 代码: /* * Author: illuz <iilluzen ...

  9. 浅谈MySQL 数据库性能优化

    MySQL数据库是 IO 密集型的程序,和其他数据库一样,主要功能就是数据的持久化以及数据的管理工作.本文侧重通过优化MySQL 数据库缓存参数如查询缓存,表缓存,日志缓存,索引缓存,innodb缓存 ...

  10. 管道是如何处理HTTP请求的?

    管道是如何处理HTTP请求的? 我们知道ASP.NET Core请求处理管道由一个服务器和一组有序的中间件组成,所以从总体设计来讲是非常简单的,但是就具体的实现来说,由于其中涉及很多对象的交互,我想很 ...