spring security 4.x 初探

作为一个Java入行“多”年的新手（这句话没毛病，因为一直在做Android），最近又开始做Java的项目。

最近在做spring security的集成，用于系统用户的权限验证。系统根据用户角色和对应的资源不同，校验和判断有无权限访问。user-role-rescourc.

spring security  原理是基于众多的过滤/拦截器实现。主要通过拦截url，认证授权，访问授权。

1.spring security shiro的比较

Shiro是一个强大而灵活的开源安全框架，能够非常清晰的处理认证、授权、管理会话以及密码加密 

1.支持支持多种数据源（LDAP，JDBC，Kerberos，ActiveDirectory 等），简单的身份认证（登录）

 2.对角色的简单的签权（访问控制），支持细粒度的签权；支持一级缓存，以提升应用程序的性能；

3.非常简单的加密 API；不跟任何的框架或者容器捆绑，可以独立运行。

spring security 除了不能脱离Spring，shiro的功能它都有。

1.Spring Security支持CAS单点登录，支持Oauth、OpenID，Shiro则需要自己手动实现。（这几个我也没用过）Spring Security的权限细粒度更高。

发了一张spring security sample的截图

从网上找了一张spring security的验证执行流程图

2.认证授权

先看张图

AuthenticationManager它用来校验用户的凭证信息，或者会抛出一个特定的异常（校验失败的情况）或者完整填充Authentication对象，将会包含了权限信息。

AuthenticationProvider它为AuthenticationManager提供凭证校验。一些AuthenticationProvider的实现基于凭证信息的存储，如数据库，来判定凭证信息是否可以被认可。

spring security 中进行身份验证的是AuthenticationManager接口，ProviderManager是它的一个默认实现，但它并不用来处理身份认证，而是委托给配置好的AuthenticationProvider，每个AuthenticationProvider会轮流检查身份认证。检查后或者返回Authentication对象或者抛出异常

下图是从网上找的身份认证的时序图

AbstractAuthenticationProcessingFilter它在认证请求中使用。处理包含认证信息的请求，如认证信息可能是form POST提交的，SSO信息或者其他用户提供的。创建一个部分完整的Authentication对象以在链中传递凭证信息。

UsernamePasswordAuthentication 继承 AbstractAuthenticationProcessingFilter，是系统默认提供的实现类

UsernamePasswordAuthenticationFilter的验证过程如下：

1. 首先过滤器会调用自身的attemptAuthentication方法，从request中取出authentication, authentication是在org.springframework.security.web.context.SecurityContextPersistenceFilter过滤器中通过捕获用户提交的登录表单中的内容生成的一个org.springframework.security.core.Authentication接口实例.

2. 拿到authentication对象后，过滤器会调用ProviderManager类的authenticate方法，并传入该对象

3.ProviderManager类的authenticate方法再调用自身的doAuthentication方法，在doAuthentication方法中会调用类中的Listproviders集合中的各个AuthenticationProvider接口实现类中的authenticate(Authentication authentication)方法进行验证，由此可见，真正的验证逻辑是由各个各个AuthenticationProvider接口实现类来完成的,DaoAuthenticationProvider类是默认情况下注入的一个AuthenticationProvider接口实现类

4.AuthenticationProvider接口通过UserDetailsService 接口来获取用户信息，实现loadUserByUsername(String username)方法，至此已经认证通过。

3.访问授权

spring security 通过拦截访问的url，查询url对应的角色或权限信息，通过对比当前用户的信息，判断是否有权限访问

FilterSecurityInterceptor 继承AbstractSecurityInterceptor是默认实现，用于访问拦截

doFilter()方法会拦截到当前访问的url，并访问SecurityMetadataSource，AccessDecisionManager 接口

SecurityMetadataSource 资源管理器，负责组装角色资源

AccessDecisionManager，访问决策管理器，判定是不是有权限访问

可以通过继承FilterSecurityInterceptor，自定义自己的Filter实现自己的业务，自定义的需要提供SecurityMetadataSource，AccessDecisionManager，UserDetailsService的实现

4.最后

挣扎了几天，完成spring security项目的引入，中间也跳进过坑，翻阅过别人的博客，最后也慢慢爬出来，在此记录下最近的学习过程。感谢那些之前那些分享经验的人。

初次写博客，有错误的地方，欢迎同行一起交流，指正错误。