安怡的相公

前面有光

  博客园  :: 首页  :: 新随笔  :: 联系 :: 订阅 订阅  :: 管理

  上一篇说明了security 是如何加载资源和权限列表的,今天这篇差不多该结束了,开始说明当用户请求一个url的时候,security是如何根据你的登陆用户 和资源权限列表去决策你是否有权限访问你的url的。

  首先你登陆完成之后,security会记录你的用户名以及其他一些信息,其中包括你所具有的权限,当你访问一个url的时候,security会根据你的url地址找到访问它所需要的权限列表,然后进行决策。

  如何构建你自定义的决策类?

  新建一个类实现AccessDecisionManager接口,应该是这个样子:

  

View Code
package cn.com.xinma.frame.service;

import java.util.Collection;

import org.springframework.security.access.AccessDecisionManager;
import org.springframework.security.access.AccessDeniedException;
import org.springframework.security.access.ConfigAttribute;
import org.springframework.security.authentication.InsufficientAuthenticationException;
import org.springframework.security.core.Authentication;
import org.springframework.security.web.access.intercept.FilterInvocationSecurityMetadataSource;

public class aaa implements AccessDecisionManager {

@Override
public void decide(Authentication arg0, Object arg1,
Collection
<ConfigAttribute> arg2) throws AccessDeniedException,
InsufficientAuthenticationException {
// TODO Auto-generated method stub

}

@Override
public boolean supports(ConfigAttribute arg0) {
// TODO Auto-generated method stub
return false;
}

@Override
public boolean supports(Class<?> arg0) {
// TODO Auto-generated method stub
return false;
}



}

其中两个重写的suppots方法都把返回值改为true

最重要的就是decide方法 ,它负责去决策你是否有权限去访问你访问的资源。

这个方法的第一个参数Authentication 是你登陆的角色所具有的权限列表。

第二个参数是你访问的url。

第三个参数是访问这个url所需要的权限列表。

至于security是怎样获取这些信息的先不管,需要通过一些简单的配置就可以了。是框架自己实现的,我们不需要详细了解。

知道了登陆用户所具有的权限,和访问资源的权限,决策就非常好做了。我给出项目中的源码,仅供参考.

View Code
package cn.com.xinma.frame.service;

import java.util.Collection;
import java.util.Iterator;

import org.springframework.security.access.AccessDecisionManager;
import org.springframework.security.access.AccessDeniedException;
import org.springframework.security.access.ConfigAttribute;
import org.springframework.security.access.SecurityConfig;
import org.springframework.security.authentication.InsufficientAuthenticationException;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.stereotype.Component;

/**
* AccessdecisionManager在Spring security中是很重要的。
*
* 在验证部分简略提过了,所有的Authentication实现需要保存在一个GrantedAuthority对象数组中。 这就是赋予给主体的权限。
* GrantedAuthority对象通过AuthenticationManager 保存到
* Authentication对象里,然后从AccessDecisionManager读出来,进行授权判断。
*
* Spring Security提供了一些拦截器,来控制对安全对象的访问权限,例如方法调用或web请求。
* 一个是否允许执行调用的预调用决定,是由AccessDecisionManager实现的。 这个 AccessDecisionManager
* 被AbstractSecurityInterceptor调用, 它用来作最终访问控制的决定。
* 这个AccessDecisionManager接口包含三个方法:
*
* void decide(Authentication authentication, Object secureObject,
* List<ConfigAttributeDefinition> config) throws AccessDeniedException; boolean
* supports(ConfigAttribute attribute); boolean supports(Class clazz);
*
* 从第一个方法可以看出来,AccessDecisionManager使用方法参数传递所有信息,这好像在认证评估时进行决定。
* 特别是,在真实的安全方法期望调用的时候,传递安全Object启用那些参数。 比如,让我们假设安全对象是一个MethodInvocation。
* 很容易为任何Customer参数查询MethodInvocation,
* 然后在AccessDecisionManager里实现一些有序的安全逻辑,来确认主体是否允许在那个客户上操作。
* 如果访问被拒绝,实现将抛出一个AccessDeniedException异常。
*
* 这个 supports(ConfigAttribute) 方法在启动的时候被
* AbstractSecurityInterceptor调用,来决定AccessDecisionManager
* 是否可以执行传递ConfigAttribute。 supports(Class)方法被安全拦截器实现调用,
* 包含安全拦截器将显示的AccessDecisionManager支持安全对象的类型。
*/
@Component(
"DecisionManager")
public class CustomAccessDecisionManager implements AccessDecisionManager {

public void decide(Authentication authentication, Object object,
Collection
<ConfigAttribute> configAttributes) throws AccessDeniedException,
InsufficientAuthenticationException {


if (configAttributes == null) {
return;
}
Collection
<GrantedAuthority> as= authentication.getAuthorities();

Iterator
<ConfigAttribute> ite = configAttributes.iterator();

while (ite.hasNext()) {

ConfigAttribute ca
= ite.next();
String needRole
= ((SecurityConfig) ca).getAttribute();
System.out.print(
"URL:"+object+"----needrole:"+needRole);
// ga 为用户所被赋予的权限。 needRole 为访问相应的资源应该具有的权限。
for (GrantedAuthority ga : as) {

if (needRole.trim().equals(ga.getAuthority().trim())) {

return;
}

}

}

throw new AccessDeniedException("访问拒绝");

}

public boolean supports(ConfigAttribute attribute) {

return true;

}

public boolean supports(Class<?> clazz) {
return true;

}

}

好了三个部分都说完了,写完了。那要配置到security 的配置文件里面,才会起到作用。

这个配置文件也不多,看了应该很容易明白,不解释了。我贴出来。

View Code
<http auto-config="true" lowercase-comparisons="false">



<intercept-url pattern="/login.jsp" filters="none" />
<form-login login-page="/login.jsp" authentication-failure-url="/login.jsp?error=true" login-processing-url="/j_security_check" />
<remember-me user-service-ref="UserDetailsService" key="e37f4b31-0c45-11dd-bd0b-0800200c9a66" />
<!-- 单用户登陆,还需要在web.xml中加入 listener -->
<session-management>
<concurrency-control max-sessions="1"
error-if-maximum-exceeded
="true" />
</session-management>
<!-- 增加一个自定义的filter,放在FILTER_SECURITY_INTERCEPTOR之前, 实现用户、角色、权限、资源的数据库管理。 -->
<custom-filter ref="myFilter" before="FILTER_SECURITY_INTERCEPTOR" />
</http>




<!-- 一个自定义的filter,必须包含authenticationManager,accessDecisionManager,securityMetadataSource三个属性。 -->
<beans:bean id="myFilter" class="cn.com.xinma.frame.service.CustomFilterSecurityInterceptor">
<beans:property name="authenticationManager" ref="authenticationManager" /><!-- 登陆的认证 -->
<beans:property name="accessDecisionManager" ref="customAccessDecisionManager" /><!-- 资源访问决策 -->
<beans:property name="securityMetadataSource" ref="customSecurityMetadataSource" /><!-- 资源和权限列表 -->
</beans:bean>

<!-- 资源源数据定义,将所有的资源和权限对应关系建立起来,即定义某一资源可以被哪些角色去访问。11/3/23 -->
<beans:bean id="customSecurityMetadataSource"
class
="cn.com.xinma.frame.service.CustomInvocationSecurityMetadataSourceService">
</beans:bean>

<authentication-manager alias="authenticationManager">
<authentication-provider user-service-ref="UserDetailsService">
<!-- 用户密码加密 just like 899312{gaobing} to md5 -->
<password-encoder ref="MyPasswordEncode">
<salt-source user-property="username" />
</password-encoder>
</authentication-provider>
</authentication-manager>


<!-- 访问决策器,决定某个用户具有的角色,是否有足够的权限去访问某个资源。11/3/23 -->
<beans:bean id="customAccessDecisionManager"
class
="cn.com.xinma.frame.service.CustomAccessDecisionManager">
</beans:bean>

 

posted on 2011-07-28 10:36  包子先森  阅读(2411)  评论(0编辑  收藏  举报