Spring Security构建灵活的企业级安全应用.pdfVIP

计算机光盘软件与应用 信息技术应用研究 ComputerCDSoftwareandApplications 2010年第 6期 SpringSecurity构建灵活的企业级安全应用 焦宁波 ，常炳国 (1．湖南大学软件学院，长沙 410082；2．福建工程学院软件学院，福州 350003) 摘 要：SpringSecurity2．x随着对Acegi1．x的改进，以其配置的灵活性受到企业级开发应用者的青睐。Ace 1．X也正 式命名为 SpringSecuriyt，成为 目前现有的最好的企业级 web安全解决方案。本文主要介绍 SpringSecurity2．x的验证 (Authentication)和授权(Authorization)的概论、核心拦截器、配置文件 以及如何针对具体的企业级应用部署SpringSecuriyt。 关键词 ：SpringSecurity；Authentication；Authorization；企业级应用；安全 中图分类号：TP39308 文献标识码：A 文章编号：1007—9599 (2010)06—0012—02 SpringSecurityBuildaFlexibleEnterprise—classSecurityApplications JiaoNingbo1,2ChangBingguo (1．SchoolofSoftware，HunanUniversity，Changsha 410082，China； 2．SchoolofSoftware，FujianEngineeringUniversity，Fuzhou 350003，China) Abstract：SpringSecurity2．xwithAcegi1．ximprovement，itsconfigurationflexibility,enterprisedevelopmentandapplication bythoseofallages．Acegi1．xofficiallynamedasSpringSecurity,asthebestcurrentlyavailableenterprise—classweb securiyt solution．ThispaperintroduceshteSpringSecuriyt2．xauthentication(Auhtentication)andauthorization(Authorization)ofhte Introduction，htecoreoffilter,configurationfilesandhow toapplyenterprise—specificdeploymentofSpringSecurity． Keywords：SpringSecuriyt；Authentication；Authorization；Enteprriseapplications；Securiyt 一 、 SpringSeourity认证和授权：概述 时，安全拦截器会将用户的请求先交给认证管理器来认证用户 的 在 目前主流的企业级开发应用中80％采用的是基于 B／S架构 身份，然后在将合法的用户交给访问策略管理器来决定该用户是 的模式，而J2EE也成为众多软件企业开发web应用的重要平台。 否有权访问。 然而安全性一直是开发者和使用者最为关注的性能之一，这～点 认证管理器：确认用户的主体和凭证。 在企业级应用中显得更为重要。 访 问决策管理器：考虑合法的主体和凭证的权限是否和受保 认证 (Authentication)：简单的说就是对用户的身份进行识