菜鸟-手把手教你把Acegi应用到实际项目中(3)

最新推荐文章于 2015-10-14 10:04:24 发布

iteye_1371

最新推荐文章于 2015-10-14 10:04:24 发布

阅读量104

点赞数

CC 4.0 BY-SA版权

分类专栏： spring_security 文章标签： acegi security

本文链接：https://blog.youkuaiyun.com/iteye_1371/article/details/82641158

spring_security 专栏收录该内容

12 篇文章

订阅专栏

本文深入解析了Acegi Security框架中的三个核心过滤器：AnonymousProcessingFilter用于处理匿名用户，RememberMeProcessingFilter实现了用户登录后自动保存状态以简化下次登录流程，而LogoutFilter则负责处理用户退出登录后的清理工作。通过配置这些过滤器，开发者可以更有效地实现Web应用的安全策略。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

这一节我们将要了解的是AnonymousProcessingFilter、RememberMeProcessingFilter和LogoutFilter三个过滤器。

1、AnonymousProcessingFilter
在大部分企业应用中，存在许多不需要用户登录就可以访问的资源，比如登录页面、退出页面、主页等。鉴于此，Acegi提供了匿名认证服务。这样能够使所有的Web资源得到保护，而不是某些资源不设权限控制，让任何人都可以访问，这样整个Acegi使能应用的Web安全策略模型将非常完美。与此同时，SecurityContextHolder(SecurityContext)将始终持有Authentication对象，因此代码的健壮性、可读性也将得到增强。
AnonymousProcessingFilter，该过滤器是用来对匿名用户的处理。如果用户尚未登录，将生成一个匿名用户的Authentication存放到ContextHolder中。即当不存在任何授权信息时，自动为Authentication对象添加userAttribute中定义的匿名用户权限。
Xml代码收藏代码

<bean id="anonymousProcessingFilter"  
    class="org.acegisecurity.providers.anonymous.AnonymousProcessingFilter">  
    <property name="key" value="changeThis" />  
    <property name="userAttribute" value="anonymousUser,ROLE_ANONYMOUS" />  
</bean>

说明：
l key：用于指定用户的名称，其实这个属性指定的值只是一个简单的标识符，可以自己取值。
l userAttribute：用于指定匿名用户的密码(anonymousUser)、权限信息(ROLE_ANONYMOUS)和启用状态(enabled/disabled)，这里anonymousUser实际上是用户名。

另外，和AuthenticationProcessingFilter的一样，AnonymousProcessingFilter也有自己的AuthenticationProvider，即AnonymousProcessingFilter。
Xml代码收藏代码

<bean  
    class="org.acegisecurity.providers.anonymous.AnonymousAuthenticationProvider">  
    <property name="key" value="changeThis" />  
</bean>

此处的key一般与AnonymousProcessingFilter中的key保持一致，用于保证Authentication对象的真实性，当然这只是Acegi内部的一个设计细节，开发者直接提供自身的key属性取值即可。同样将该Provider加到authenticationManager的providers属性列表中。(个人发现，如果不提供AnonymousAuthenticationProvider，同样能实现匿名认证的功能，或者key不相同也没影响，这一点本人暂时不太明白，如果有谁清楚的请留言给我，谢谢^_^)

2、RememberMeProcessingFilter
该Filter会在用户登录后，在本地机器上记录用户cookies信息，这样下次访问就不用再登录了。它还负责对所有HTTP请求进行拦截，当发现SecurityContextHolder中没有包含有效的Authentication对象时，自动调用RememberMeServices#autoLogin()方法从Cookie中获取用户名/密码的编码串进行自动登录，所以rememberMeProcessingFilter首先要注入一个RememberMeServices Bean。
rememberMeProcessingFilter通过rememberMeServices获取对应Cookie中用户的UserDetails后，就必须进行用户身份认证。这项工作依然委托给authenticationManager完成，所以我们给rememberMeProcessingFilter注入了authenticationManager Bean。
authenticationManager如何对基于Cookie的用户凭证进行认证呢？显然，不能采用原来的daoAuthenticationProvider所用的方法，因为Cookie所提供用户凭证和登录表单提供的用户凭证在格式上存在很大的差异。基于Remember-Me的用户名/密码信息是经过特殊编码的字符串，Acegi通过RememberMeAuthenticationProvider负责对基于Cookie的用户凭证信息进行认证。所以你必须将该认证提供者添加到authenticationManager中。
Xml代码收藏代码

<bean id="rememberMeProcessingFilter"  
    class="org.acegisecurity.ui.rememberme.RememberMeProcessingFilter">  
    <property name="authenticationManager" ref="authenticationManager" />  
    <property name="rememberMeServices" ref="rememberMeServices" /><!-- 增加 -->  
</bean>  
<bean id="authenticationManager"  
    class="org.acegisecurity.providers.ProviderManager">  
    <property name="providers">  
        <list>  
            <ref local="daoAuthenticationProvider" />  
            <!-- 增加 -->  
            <bean  
                class="org.acegisecurity.providers.anonymous.AnonymousAuthenticationProvider">  
                <property name="key" value="changeThis" />  
            </bean>  
            <!-- 增加 -->  
            <bean  
                class="org.acegisecurity.providers.rememberme.RememberMeAuthenticationProvider">  
                <property name="key" value="foobar" /><!-- key必须和rememberMeServices中的key一致 -->  
            </bean>  
        </list>  
    </property>  
</bean>

<bean id="rememberMeServices"  
    class="org.acegisecurity.ui.rememberme.TokenBasedRememberMeServices">  
    <property name="userDetailsService" ref="inMemDaoImpl" />  
    <!-- cookie中的键值, 防止保存到客户端的cookie中的加密串被恶意篡改 -->  
    <property name="key" value="foobar" />  
    <!-- cookie有效时间, 单位为秒, 这里设定为5天内不用再登陆 -->  
    <property name="tokenValiditySeconds" value="432000" />  
</bean>

另外，必须在AuthenticationProcessingFilter中加入rememberMeServices。这样，当用户勾选了记住密码并登录后，rememberMeServices会将用户信息保存到Cookie中

<bean id="authenticationProcessingFilter"  
    class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilter">  
    ……  
    <property name="rememberMeServices" ref="rememberMeServices" /><!-- 增加, 可别忘了此处 -->  
</bean>

3、LogoutFilter
该Filter负责处理退出登录后所需要的清理工作。包括：
1) 销毁session
2) 清空 ContextHolder
3) 把rememberMeServices从cookies中清除掉
4) 最后重定向到指定的退出登陆页面。
Xml代码收藏代码

<bean id="logoutFilter" class="org.acegisecurity.ui.logout.LogoutFilter">  
      <constructor-arg value="/index.jsp"/> <!-- URL redirected to after logout 退出页面url -->  
      <constructor-arg>  
         <list>  
              <ref bean="rememberMeServices"/><!-- 用于清空cookies -->  
              <bean class="org.acegisecurity.ui.logout.SecurityContextLogoutHandler"/>  
         </list>  
      </constructor-arg>  
</bean>

最后，请注意，Acegi默认的自动登陆设定参数名为_acegi_security_remember_me，注销链接为/j_acegi_logout。
登录时，在页面添加以下代码：

Html代码收藏代码

<input type="checkbox" name="_acegi_security_remember_me">

退出时，在页面添加以下代码：

Html代码收藏代码

<a href="<%=request.getContextPath() %>/j_acegi_logout">Logout</a>

开发环境：
MyEclipse 5.0GA
Eclipse3.2.1
JDK1.5.0_10
tomcat5.5.23
acegi-security-1.0.7
Spring2.0

Jar包：
acegi-security-1.0.7.jar
Spring.jar
commons-codec.jar
jstl.jar (1.1版)
standard.jar