(window.webpackJsonp=window.webpackJsonp||[]).push([[615],{1046:function(t,e,a){"use strict";a.r(e);var r=a(56),s=Object(r.a)({},(function(){var t=this,e=t.$createElement,a=t._self._c||e;return a("ContentSlotsDistributor",{attrs:{"slot-key":t.$parent.slotKey}},[a("h1",{attrs:{id:"安全名称空间配置"}},[a("a",{staticClass:"header-anchor",attrs:{href:"#安全名称空间配置"}},[t._v("#")]),t._v(" 安全名称空间配置")]),t._v(" "),a("h2",{attrs:{id:"导言"}},[a("a",{staticClass:"header-anchor",attrs:{href:"#导言"}},[t._v("#")]),t._v(" 导言")]),t._v(" "),a("p",[t._v("自 Spring 框架的2.0版本以来，名称空间配置一直可用。它允许你使用额外的XML模式中的元素来补充传统的 Spring bean应用程序上下文语法。你可以在 Spring "),a("a",{attrs:{href:"https://docs.spring.io/spring/docs/current/spring-framework-reference/htmlsingle/",target:"_blank",rel:"noopener noreferrer"}},[t._v("参考文献"),a("OutboundLink")],1),t._v("中找到更多信息。名称空间元素可以简单地用于允许以更简洁的方式配置单个 Bean，或者更强大地，用于定义替代配置语法，该语法更紧密地匹配问题域，并向用户隐藏潜在的复杂性。一个简单的元素可能掩盖了一个事实，即多个bean和处理步骤正在被添加到应用程序上下文中。例如，将以下元素从安全名称空间添加到应用程序上下文中，将启动一个嵌入式LDAP服务器，以测试在应用程序中的使用情况：")]),t._v(" "),a("div",{staticClass:"language- extra-class"},[a("pre",{pre:!0,attrs:{class:"language-text"}},[a("code",[t._v("<security:ldap-server />\n")])])]),a("p",[t._v("这比连接等效的 Apache 目录服务器bean要简单得多。最常见的替代配置需求由"),a("code",[t._v("ldap-server")]),t._v("元素上的属性支持，并且用户不必担心需要创建哪些bean以及 Bean 属性名称是什么。"),a("sup",{staticClass:"footnote"},[t._v("["),a("a",{staticClass:"footnote",attrs:{id:"_footnoteref_1",href:"#_footnotedef_1",title:"View footnote."}},[t._v("1")]),t._v("]")]),t._v("。]在编辑应用程序上下文文件时使用一个好的XML编辑器，应该提供关于可用的属性和元素的信息。我们建议你尝试"),a("a",{attrs:{href:"https://spring.io/tools",target:"_blank",rel:"noopener noreferrer"}},[t._v("Eclipse IDE with Spring Tools"),a("OutboundLink")],1),t._v("，因为它具有用于处理标准 Spring 名称空间的特殊功能。")]),t._v(" "),a("p",[t._v("要在应用程序上下文中开始使用安全名称空间，你需要在 Classpath 上使用"),a("code",[t._v("spring-security-config")]),t._v("jar。然后，你所需要做的就是将架构声明添加到应用程序上下文文件中：")]),t._v(" "),a("div",{staticClass:"language- extra-class"},[a("pre",{pre:!0,attrs:{class:"language-text"}},[a("code",[t._v('<beans xmlns="http://www.springframework.org/schema/beans"\nxmlns:security="http://www.springframework.org/schema/security"\nxmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"\nxsi:schemaLocation="http://www.springframework.org/schema/beans\n\t\thttps://www.springframework.org/schema/beans/spring-beans-3.0.xsd\n\t\thttp://www.springframework.org/schema/security\n\t\thttps://www.springframework.org/schema/security/spring-security.xsd">\n\t...\n</beans>\n')])])]),a("p",[t._v("在你将看到的许多示例中（以及在示例应用程序中），我们通常使用“security”作为默认名称空间，而不是“bean”，这意味着我们可以省略所有安全名称空间元素上的前缀，从而使内容更易于阅读。如果你将你的应用程序上下文划分为不同的文件，并且将大多数安全配置都放在其中一个文件中，那么你可能也想这样做。然后，你的安全应用程序上下文文件将像这样启动")]),t._v(" "),a("div",{staticClass:"language- extra-class"},[a("pre",{pre:!0,attrs:{class:"language-text"}},[a("code",[t._v('<beans:beans xmlns="http://www.springframework.org/schema/security"\nxmlns:beans="http://www.springframework.org/schema/beans"\nxmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"\nxsi:schemaLocation="http://www.springframework.org/schema/beans\n\t\thttps://www.springframework.org/schema/beans/spring-beans-3.0.xsd\n\t\thttp://www.springframework.org/schema/security\n\t\thttps://www.springframework.org/schema/security/spring-security.xsd">\n\t...\n</beans:beans>\n')])])]),a("p",[t._v("在本章中，我们将假设从现在开始使用这种语法。")]),t._v(" "),a("h3",{attrs:{id:"命名空间的设计"}},[a("a",{staticClass:"header-anchor",attrs:{href:"#命名空间的设计"}},[t._v("#")]),t._v(" 命名空间的设计")]),t._v(" "),a("p",[t._v("名称空间旨在捕捉框架的最常见用途，并提供简化和简明的语法，以便在应用程序中启用它们。该设计基于框架内的大规模依赖关系，可以分为以下几个方面：")]),t._v(" "),a("ul",[a("li",[a("p",[a("em",[t._v("Web/HTTP安全性")]),t._v("-最复杂的部分。设置用于应用框架身份验证机制的过滤器和相关服务bean，以保护URL，呈现登录和错误页面等等。")])]),t._v(" "),a("li",[a("p",[a("em",[t._v("业务对象（方法）安全性")]),t._v("-用于保护服务层的选项。")])]),t._v(" "),a("li",[a("p",[a("em",[t._v("身份验证管理器")]),t._v("-处理来自框架其他部分的身份验证请求。")])]),t._v(" "),a("li",[a("p",[a("em",[t._v("AccessDecisionManager")]),t._v("-提供Web和方法安全性的访问决策。将注册一个默认的，但你也可以选择使用一个自定义的，使用正常的 Spring  Bean 语法声明。")])]),t._v(" "),a("li",[a("p",[a("em",[t._v("身份验证提供者")]),t._v("s-身份验证管理器对用户进行身份验证的机制。名称空间提供了对几个标准选项的支持，也是添加使用传统语法声明的自定义bean的一种方式。")])]),t._v(" "),a("li",[a("p",[a("em",[t._v("UserDetailsService")]),t._v("-与身份验证提供程序密切相关，但通常也需要其他bean。")])])]),t._v(" "),a("p",[t._v("我们将在下面的小节中看到如何配置这些功能。")]),t._v(" "),a("h2",{attrs:{id:"安全名称空间配置入门"}},[a("a",{staticClass:"header-anchor",attrs:{href:"#安全名称空间配置入门"}},[t._v("#")]),t._v(" 安全名称空间配置入门")]),t._v(" "),a("p",[t._v("在本节中，我们将研究如何构建名称空间配置，以使用框架的一些主要特性。让我们假设你最初希望尽快启动和运行，并通过一些测试登录向现有的Web应用程序添加身份验证支持和访问控制。然后，我们将研究如何转换为针对数据库或其他安全存储库进行身份验证。在后面的部分中，我们将介绍更高级的名称空间配置选项。")]),t._v(" "),a("h3",{attrs:{id:"web-xml配置"}},[a("a",{staticClass:"header-anchor",attrs:{href:"#web-xml配置"}},[t._v("#")]),t._v(" web.xml配置")]),t._v(" "),a("p",[t._v("你需要做的第一件事是将以下过滤器声明添加到你的"),a("code",[t._v("web.xml")]),t._v("文件中：")]),t._v(" "),a("div",{staticClass:"language- extra-class"},[a("pre",{pre:!0,attrs:{class:"language-text"}},[a("code",[t._v("<filter>\n<filter-name>springSecurityFilterChain</filter-name>\n<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>\n</filter>\n\n<filter-mapping>\n<filter-name>springSecurityFilterChain</filter-name>\n<url-pattern>/*</url-pattern>\n</filter-mapping>\n")])])]),a("p",[t._v("这提供了一个到 Spring 安全Web基础设施的钩子。"),a("code",[t._v("DelegatingFilterProxy")]),t._v("是一个 Spring 框架类，它委托给一个过滤器实现，该过滤器实现在你的应用程序上下文中被定义为 Spring  Bean。在这种情况下， Bean 被命名为“SpringSecurityFilterChain”，这是由名称空间创建的内部基础设施 Bean，用于处理Web安全。请注意，你自己不应该使用这个名称。一旦你把这个添加到你的"),a("code",[t._v("web.xml")]),t._v("中，你就可以开始编辑你的应用程序上下文文件了。Web安全服务使用"),a("code",[t._v("<http>")]),t._v("元素进行配置。")]),t._v(" "),a("h3",{attrs:{id:"最小-http-配置"}},[a("a",{staticClass:"header-anchor",attrs:{href:"#最小-http-配置"}},[t._v("#")]),t._v(" 最小<http>配置")]),t._v(" "),a("p",[t._v("要启用Web安全性，你所需要做的就是从一开始就启用它。")]),t._v(" "),a("div",{staticClass:"language- extra-class"},[a("pre",{pre:!0,attrs:{class:"language-text"}},[a("code",[t._v('<http>\n<intercept-url pattern="/**" access="hasRole(\'USER\')" />\n<form-login />\n<logout />\n</http>\n')])])]),a("p",[t._v("这表示我们希望我们的应用程序中的所有URL都是安全的，需要角色"),a("code",[t._v("ROLE_USER")]),t._v("来访问它们，我们希望使用带有用户名和密码的表单登录到应用程序，并且我们希望注册一个注销URL，这将允许我们从应用程序中注销。"),a("code",[t._v("<http>")]),t._v("元素是所有与Web相关的命名空间功能的父元素。"),a("code",[t._v("<intercept-url>")]),t._v("元素定义了一个"),a("code",[t._v("pattern")]),t._v("，它使用 Ant 路径样式语法"),a("sup",{staticClass:"footnote"},[t._v("["),a("a",{staticClass:"footnote",attrs:{id:"_footnoteref_2",href:"#_footnotedef_2",title:"View footnote."}},[t._v("2")]),t._v("]")]),t._v("，用于匹配实际执行方式的更多详细信息。]你还可以使用正则表达式匹配作为一种选择（有关更多详细信息，请参见名称空间附录）。"),a("code",[t._v("access")]),t._v("属性定义了匹配给定模式的请求的访问要求。对于默认配置，这通常是一个逗号分隔的角色列表，其中一个必须允许用户提出请求。前缀“role_”是一个标记，表示应该与用户的权限进行简单的比较。换句话说，应该使用正常的基于角色的检查。 Spring 安全中的访问控制并不限于使用简单的角色（因此使用前缀来区分不同类型的安全属性）。稍后我们将看到解释如何改变"),a("sup",{staticClass:"footnote"},[t._v("["),a("a",{staticClass:"footnote",attrs:{id:"_footnoteref_3",href:"#_footnotedef_3",title:"View footnote."}},[t._v("3")]),t._v("]")]),t._v("。在 Spring Security3.0中，还可以使用"),a("RouterLink",{attrs:{to:"/authorization/expression-based.html#el-access"}},[t._v("EL表达式")]),t._v("填充属性。")],1),t._v(" "),a("table",[a("thead",[a("tr",[a("th"),t._v(" "),a("th",[t._v("你可以使用多个"),a("code",[t._v("<intercept-url>")]),t._v("元素来为不同的URL集定义不同的访问要求，但它们将按照列出的顺序进行计算，并使用第一个匹配项。，因此，你必须将最具体的匹配项放在顶部，"),a("br"),t._v("还可以添加一个"),a("code",[t._v("method")]),t._v("属性，以将匹配限制为特定的HTTP方法（"),a("code",[t._v("GET")]),t._v("，"),a("code",[t._v("POST")]),t._v("，"),a("code",[t._v("PUT")]),t._v("等）。")])])]),t._v(" "),a("tbody")]),t._v(" "),a("p",[t._v("要添加一些用户，你可以直接在名称空间中定义一组测试数据：")]),t._v(" "),a("div",{staticClass:"language- extra-class"},[a("pre",{pre:!0,attrs:{class:"language-text"}},[a("code",[t._v('<authentication-manager>\n<authentication-provider>\n\t<user-service>\n\t\x3c!-- Password is prefixed with {noop} to indicate to DelegatingPasswordEncoder that\n\tNoOpPasswordEncoder should be used. This is not safe for production, but makes reading\n\tin samples easier. Normally passwords should be hashed using BCrypt --\x3e\n\t<user name="jimi" password="{noop}jimispassword" authorities="ROLE_USER, ROLE_ADMIN" />\n\t<user name="bob" password="{noop}bobspassword" authorities="ROLE_USER" />\n\t</user-service>\n</authentication-provider>\n</authentication-manager>\n')])])]),a("p",[t._v("这是存储相同密码的安全方法的一个示例。密码的前缀是"),a("code",[t._v("{bcrypt}")]),t._v("，指示"),a("code",[t._v("DelegatingPasswordEncoder")]),t._v("，该命令支持任何配置的"),a("code",[t._v("PasswordEncoder")]),t._v("进行匹配，并使用bcrypt对密码进行哈希：")]),t._v(" "),a("div",{staticClass:"language- extra-class"},[a("pre",{pre:!0,attrs:{class:"language-text"}},[a("code",[t._v('<authentication-manager>\n<authentication-provider>\n\t<user-service>\n\t<user name="jimi" password="{bcrypt}$2a$10$ddEWZUl8aU0GdZPPpy7wbu82dvEw/pBpbRvDQRqA41y6mK1CoH00m"\n\t\t\tauthorities="ROLE_USER, ROLE_ADMIN" />\n\t<user name="bob" password="{bcrypt}$2a$10$/elFpMBnAYYig6KRR5bvOOYeZr1ie1hSogJryg9qDlhza4oCw1Qka"\n\t\t\tauthorities="ROLE_USER" />\n\t<user name="jimi" password="{noop}jimispassword" authorities="ROLE_USER, ROLE_ADMIN" />\n\t<user name="bob" password="{noop}bobspassword" authorities="ROLE_USER" />\n\t</user-service>\n</authentication-provider>\n</authentication-manager>\n')])])]),a("p",[t._v("如果你熟悉该框架的预命名空间版本，你可能已经可以大致猜到这里发生了什么。"),a("code",[t._v("<http>")]),t._v("元素负责创建"),a("code",[t._v("FilterChainProxy")]),t._v("和它所使用的过滤器bean。常见的问题，如不正确的过滤器排序不再是一个问题，因为过滤器的位置是预先定义的。")]),t._v(" "),a("p",[a("code",[t._v("<authentication-provider>")]),t._v("元素创建一个"),a("code",[t._v("DaoAuthenticationProvider")]),t._v(" Bean，而"),a("code",[t._v("<user-service>")]),t._v("元素创建一个"),a("code",[t._v("InMemoryDaoImpl")]),t._v("。所有"),a("code",[t._v("authentication-provider")]),t._v("元素必须是"),a("code",[t._v("<authentication-manager>")]),t._v("元素的子元素，该元素创建一个"),a("code",[t._v("ProviderManager")]),t._v("并向其注册身份验证提供者。你可以在"),a("RouterLink",{attrs:{to:"/appendix/namespace/index.html#appendix-namespace"}},[t._v("名称空间附录")]),t._v("中找到有关创建的bean的更详细信息。如果你想开始了解框架中的重要类是什么以及它们是如何使用的，特别是如果你想在以后定制这些类，那么值得对此进行交叉检查。")],1),t._v(" "),a("p",[t._v("上面的配置定义了两个用户、他们的密码和他们在应用程序中的角色（将用于访问控制）。还可以使用"),a("code",[t._v("user-service")]),t._v("上的"),a("code",[t._v("properties")]),t._v("属性从标准属性文件加载用户信息。有关文件格式的更多详细信息，请参见"),a("RouterLink",{attrs:{to:"/authentication/passwords/in-memory.html#servlet-authentication-inmemory"}},[t._v("内存中身份验证")]),t._v("一节。使用"),a("code",[t._v("<authentication-provider>")]),t._v("元素意味着用户信息将被身份验证管理器用于处理身份验证请求。你可以使用多个"),a("code",[t._v("<authentication-provider>")]),t._v("元素来定义不同的认证源，并依次对每个元素进行查询。")],1),t._v(" "),a("p",[t._v("此时，你应该能够启动你的应用程序，并且需要登录才能继续。尝试一下，或者尝试一下项目附带的“教程”示例应用程序。")]),t._v(" "),a("h4",{attrs:{id:"设置默认的登录后目标"}},[a("a",{staticClass:"header-anchor",attrs:{href:"#设置默认的登录后目标"}},[t._v("#")]),t._v(" 设置默认的登录后目标")]),t._v(" "),a("p",[t._v("如果试图访问受保护的资源时没有提示表单登录，那么"),a("code",[t._v("default-target-url")]),t._v("选项就会起作用。这是用户成功登录后将被带到的URL，默认为“/”。通过将"),a("code",[t._v("always-use-default-target")]),t._v("属性设置为“true”，你还可以配置一些东西，以便用户"),a("em",[t._v("总是")]),t._v("最终在此页面结束（无论登录是“按需”还是他们明确选择登录）。如果你的应用程序总是要求用户从“主页”页面开始，这是有用的，例如：")]),t._v(" "),a("div",{staticClass:"language- extra-class"},[a("pre",{pre:!0,attrs:{class:"language-text"}},[a("code",[t._v("<http pattern=\"/login.htm*\" security=\"none\"/>\n<http use-expressions=\"false\">\n<intercept-url pattern='/**' access='ROLE_USER' />\n<form-login login-page='/login.htm' default-target-url='/home.htm'\n\t\talways-use-default-target='true' />\n</http>\n")])])]),a("p",[t._v("为了获得对目的地的更多控制，你可以使用"),a("code",[t._v("authentication-success-handler-ref")]),t._v("属性作为"),a("code",[t._v("default-target-url")]),t._v("的替代选项。引用的 Bean 应该是"),a("code",[t._v("AuthenticationSuccessHandler")]),t._v("的实例。")]),t._v(" "),a("h2",{attrs:{id:"高级web功能"}},[a("a",{staticClass:"header-anchor",attrs:{href:"#高级web功能"}},[t._v("#")]),t._v(" 高级Web功能")]),t._v(" "),a("h3",{attrs:{id:"添加自己的过滤器"}},[a("a",{staticClass:"header-anchor",attrs:{href:"#添加自己的过滤器"}},[t._v("#")]),t._v(" 添加自己的过滤器")]),t._v(" "),a("p",[t._v("如果你以前使用过 Spring 安全性，那么你就会知道，该框架维护了一系列过滤器，以便应用其服务。你可能希望在特定位置将自己的筛选器添加到堆栈中，或者使用 Spring 安全筛选器，该筛选器目前没有名称空间配置选项（例如，CAS）。或者，你可能希望使用标准名称空间过滤器的定制版本，例如"),a("code",[t._v("UsernamePasswordAuthenticationFilter")]),t._v("，它是由"),a("code",[t._v("<form-login>")]),t._v("元素创建的，利用了一些额外的配置选项，这些额外的配置选项可以通过显式地使用 Bean 来获得。既然过滤器链不是直接公开的，那么如何使用名称空间配置来实现这一点呢？")]),t._v(" "),a("p",[t._v("在使用名称空间时，总是严格执行过滤器的顺序。在创建应用程序上下文时，过滤器bean按名称空间处理代码进行排序，标准 Spring 安全过滤器在名称空间和众所周知的位置中都有一个别名。")]),t._v(" "),a("table",[a("thead",[a("tr",[a("th"),t._v(" "),a("th",[t._v("在以前的版本中，排序是在应用程序上下文的后处理过程中，在过滤器实例被创建之后进行的，"),a("br"),t._v("在版本3.0中，排序现在是在 Bean 元数据级别完成的，在类被实例化之前。"),a("br"),t._v("这对于如何将自己的筛选器添加到堆栈有影响，因为在解析"),a("code",[t._v("<http>")]),t._v("元素期间，必须知道整个筛选器列表，所以语法在3.0中略有变化。")])])]),t._v(" "),a("tbody")]),t._v(" "),a("p",[t._v("创建过滤器的过滤器、别名和名称空间元素/属性在"),a("a",{attrs:{href:"#filter-stack"}},[t._v("标准过滤器别名和排序")]),t._v("中显示。过滤器是按照它们在过滤器链中出现的顺序列出的。")]),t._v(" "),a("table",[a("thead",[a("tr",[a("th",[t._v("Alias")]),t._v(" "),a("th",[t._v("Filter Class")]),t._v(" "),a("th",[t._v("名称空间元素或属性")])])]),t._v(" "),a("tbody",[a("tr",[a("td",[t._v("CHANNEL_FILTER")]),t._v(" "),a("td",[a("code",[t._v("ChannelProcessingFilter")])]),t._v(" "),a("td",[a("code",[t._v("http/[[email protected]](/cdn-cgi/l/email-protection)")])])]),t._v(" "),a("tr",[a("td",[t._v("SECURITY_CONTEXT_FILTER")]),t._v(" "),a("td",[a("code",[t._v("SecurityContextPersistenceFilter")])]),t._v(" "),a("td",[a("code",[t._v("http")])])]),t._v(" "),a("tr",[a("td",[t._v("CONCURRENT_SESSION_FILTER")]),t._v(" "),a("td",[a("code",[t._v("ConcurrentSessionFilter")])]),t._v(" "),a("td",[a("code",[t._v("session-management/concurrency-control")])])]),t._v(" "),a("tr",[a("td",[t._v("HEADERS_FILTER")]),t._v(" "),a("td",[a("code",[t._v("HeaderWriterFilter")])]),t._v(" "),a("td",[a("code",[t._v("http/headers")])])]),t._v(" "),a("tr",[a("td",[t._v("CSRF_FILTER")]),t._v(" "),a("td",[a("code",[t._v("CsrfFilter")])]),t._v(" "),a("td",[a("code",[t._v("http/csrf")])])]),t._v(" "),a("tr",[a("td",[t._v("LOGOUT_FILTER")]),t._v(" "),a("td",[a("code",[t._v("LogoutFilter")])]),t._v(" "),a("td",[a("code",[t._v("http/logout")])])]),t._v(" "),a("tr",[a("td",[t._v("X509_FILTER")]),t._v(" "),a("td",[a("code",[t._v("X509AuthenticationFilter")])]),t._v(" "),a("td",[a("code",[t._v("http/x509")])])]),t._v(" "),a("tr",[a("td",[t._v("PRE_AUTH_FILTER")]),t._v(" "),a("td",[a("code",[t._v("AbstractPreAuthenticatedProcessingFilter")]),t._v(" Subclasses")]),t._v(" "),a("td",[t._v("不适用")])]),t._v(" "),a("tr",[a("td",[t._v("CAS_FILTER")]),t._v(" "),a("td",[a("code",[t._v("CasAuthenticationFilter")])]),t._v(" "),a("td",[t._v("不适用")])]),t._v(" "),a("tr",[a("td",[t._v("FORM_LOGIN_FILTER")]),t._v(" "),a("td",[a("code",[t._v("UsernamePasswordAuthenticationFilter")])]),t._v(" "),a("td",[a("code",[t._v("http/form-login")])])]),t._v(" "),a("tr",[a("td",[t._v("BASIC_AUTH_FILTER")]),t._v(" "),a("td",[a("code",[t._v("BasicAuthenticationFilter")])]),t._v(" "),a("td",[a("code",[t._v("http/http-basic")])])]),t._v(" "),a("tr",[a("td",[t._v("SERVLET_API_SUPPORT_FILTER")]),t._v(" "),a("td",[a("code",[t._v("SecurityContextHolderAwareRequestFilter")])]),t._v(" "),a("td",[a("code",[t._v("http/@servlet-api-provision")])])]),t._v(" "),a("tr",[a("td",[t._v("JAAS_API_SUPPORT_FILTER")]),t._v(" "),a("td",[a("code",[t._v("JaasApiIntegrationFilter")])]),t._v(" "),a("td",[a("code",[t._v("http/@jaas-api-provision")])])]),t._v(" "),a("tr",[a("td",[t._v("REMEMBER_ME_FILTER")]),t._v(" "),a("td",[a("code",[t._v("RememberMeAuthenticationFilter")])]),t._v(" "),a("td",[a("code",[t._v("http/remember-me")])])]),t._v(" "),a("tr",[a("td",[t._v("ANONYMOUS_FILTER")]),t._v(" "),a("td",[a("code",[t._v("AnonymousAuthenticationFilter")])]),t._v(" "),a("td",[a("code",[t._v("http/anonymous")])])]),t._v(" "),a("tr",[a("td",[t._v("SESSION_MANAGEMENT_FILTER")]),t._v(" "),a("td",[a("code",[t._v("SessionManagementFilter")])]),t._v(" "),a("td",[a("code",[t._v("session-management")])])]),t._v(" "),a("tr",[a("td",[t._v("EXCEPTION_TRANSLATION_FILTER")]),t._v(" "),a("td",[a("code",[t._v("ExceptionTranslationFilter")])]),t._v(" "),a("td",[a("code",[t._v("http")])])]),t._v(" "),a("tr",[a("td",[t._v("FILTER_SECURITY_INTERCEPTOR")]),t._v(" "),a("td",[a("code",[t._v("FilterSecurityInterceptor")])]),t._v(" "),a("td",[a("code",[t._v("http")])])]),t._v(" "),a("tr",[a("td",[t._v("SWITCH_USER_FILTER")]),t._v(" "),a("td",[a("code",[t._v("SwitchUserFilter")])]),t._v(" "),a("td",[t._v("不适用")])])])]),t._v(" "),a("p",[t._v("你可以将自己的筛选器添加到堆栈中，使用"),a("code",[t._v("custom-filter")]),t._v("元素和其中一个名称来指定筛选器应该出现在以下位置：")]),t._v(" "),a("div",{staticClass:"language- extra-class"},[a("pre",{pre:!0,attrs:{class:"language-text"}},[a("code",[t._v('<http>\n<custom-filter position="FORM_LOGIN_FILTER" ref="myFilter" />\n</http>\n\n<beans:bean id="myFilter" class="com.mycompany.MySpecialAuthenticationFilter"/>\n')])])]),a("p",[t._v("如果希望在堆栈中的另一个过滤器之前或之后插入过滤器，还可以使用"),a("code",[t._v("after")]),t._v("或"),a("code",[t._v("before")]),t._v("属性。名称“first”和“last”可以与"),a("code",[t._v("position")]),t._v("属性一起使用，以表明你希望你的筛选器分别出现在整个堆栈之前或之后。")]),t._v(" "),a("table",[a("thead",[a("tr",[a("th"),t._v(" "),a("th",[t._v("避免过滤器位置冲突"),a("br"),a("br"),t._v("如果你要插入一个自定义过滤器，该过滤器的位置可能与名称空间创建的标准过滤器的位置相同，那么这一点很重要你没有错误地包含名称空间版本。，"),a("br"),t._v("删除任何创建过滤器的元素，这些过滤器的功能是你想要替换的，"),a("br"),a("br"),t._v("注意，你不能替换使用"),a("code",[t._v("<http>")]),t._v("元素本身创建的过滤器-"),a("code",[t._v("SecurityContextPersistenceFilter")]),t._v("，"),a("code",[t._v("ExceptionTranslationFilter")]),t._v("或"),a("code",[t._v("FilterSecurityInterceptor")]),t._v("。"),a("br"),t._v("默认情况下添加了其他一些过滤器，但你可以禁用它们。"),a("br"),t._v("默认情况下添加了一个"),a("code",[t._v("AnonymousAuthenticationFilter")]),t._v("，除非你禁用了"),a("RouterLink",{attrs:{to:"/authentication/session-management.html#ns-session-fixation"}},[t._v("session-fixation protection")]),t._v("，否则还将向过滤器链中添加一个"),a("code",[t._v("SessionManagementFilter")]),t._v("。")],1)])]),t._v(" "),a("tbody")]),t._v(" "),a("p",[t._v("如果要替换需要身份验证入口点的名称空间过滤器（即未经身份验证的用户试图访问安全资源而触发身份验证过程），还需要添加自定义入口点 Bean。")]),t._v(" "),a("h2",{attrs:{id:"方法安全性"}},[a("a",{staticClass:"header-anchor",attrs:{href:"#方法安全性"}},[t._v("#")]),t._v(" 方法安全性")]),t._v(" "),a("p",[t._v("Spring 从版本2.0开始，安全性在很大程度上改进了对向服务层方法添加安全性的支持。它提供了对JSR-250注释安全性的支持，以及框架的原始"),a("code",[t._v("@Secured")]),t._v("注释。从3.0开始，你还可以使用New"),a("RouterLink",{attrs:{to:"/authorization/expression-based.html#el-access"}},[t._v("基于表达式的注释")]),t._v("。你可以对单个 Bean 应用安全性，使用"),a("code",[t._v("intercept-methods")]),t._v("元素来装饰 Bean 声明，或者可以使用AspectJ样式的切入点在整个服务层中保护多个bean。")],1),t._v(" "),a("h2",{attrs:{id:"默认的accessesdecisionmanager"}},[a("a",{staticClass:"header-anchor",attrs:{href:"#默认的accessesdecisionmanager"}},[t._v("#")]),t._v(" 默认的accessesdecisionManager")]),t._v(" "),a("p",[t._v("本节假定你对 Spring Security中的访问控制的底层体系结构有一定的了解。如果你不这样做，你可以跳过它，稍后再来讨论它，因为这一部分只与那些需要进行一些定制以使用比简单的基于角色的安全性更多功能的人相关。")]),t._v(" "),a("p",[t._v("当你使用名称空间配置时，将自动为你注册一个"),a("code",[t._v("AccessDecisionManager")]),t._v("的默认实例，该实例将用于为方法调用和Web URL访问做出访问决策，基于你在"),a("code",[t._v("intercept-url")]),t._v("和"),a("code",[t._v("protect-pointcut")]),t._v("声明中指定的访问属性（如果你使用的是注释安全方法，则在注释中指定）。")]),t._v(" "),a("p",[t._v("默认的策略是使用"),a("code",[t._v("AffirmativeBased``AccessDecisionManager")]),t._v("和"),a("code",[t._v("RoleVoter")]),t._v("。你可以在"),a("RouterLink",{attrs:{to:"/authorization/architecture.html#authz-arch"}},[t._v("授权")]),t._v("一章中找到更多有关这些的信息。")],1),t._v(" "),a("h3",{attrs:{id:"自定义accessdecisionmanager"}},[a("a",{staticClass:"header-anchor",attrs:{href:"#自定义accessdecisionmanager"}},[t._v("#")]),t._v(" 自定义accessDecisionManager")]),t._v(" "),a("p",[t._v("如果需要使用更复杂的访问控制策略，那么很容易为方法和Web安全性设置替代方案。")]),t._v(" "),a("p",[t._v("对于方法安全性，你可以通过将"),a("code",[t._v("global-method-security")]),t._v("上的"),a("code",[t._v("access-decision-manager-ref")]),t._v("属性设置为应用程序上下文中适当的"),a("code",[t._v("id")]),t._v(" Bean 中的"),a("code",[t._v("id")]),t._v("来实现此目的：")]),t._v(" "),a("div",{staticClass:"language- extra-class"},[a("pre",{pre:!0,attrs:{class:"language-text"}},[a("code",[t._v('<global-method-security access-decision-manager-ref="myAccessDecisionManagerBean">\n...\n</global-method-security>\n')])])]),a("p",[t._v("Web安全性的语法是相同的，但是在"),a("code",[t._v("http")]),t._v("元素上：")]),t._v(" "),a("div",{staticClass:"language- extra-class"},[a("pre",{pre:!0,attrs:{class:"language-text"}},[a("code",[t._v('<http access-decision-manager-ref="myAccessDecisionManagerBean">\n...\n</http>\n')])])]),a("hr"),t._v(" "),a("p",[a("a",{attrs:{href:"#_footnoteref_1"}},[t._v("1")]),t._v("。你可以在关于Xref的章节中找到有关"),a("code",[t._v("ldap-server")]),t._v("元素使用情况的更多信息： Servlet/authentication/unpwd/ldap.ADOC# Servlet-authentication-ldap[ldap身份验证]")]),t._v(" "),a("p",[a("a",{attrs:{href:"#_footnoteref_2"}},[t._v("2")]),t._v("。参见Xref部分： Servlet/exploits/firewall.ADOC# Servlet-HttpFirewall["),a("code",[t._v("HttpFirewall")])]),t._v(" "),a("p",[a("a",{attrs:{href:"#_footnoteref_3"}},[t._v("3")]),t._v("。对"),a("code",[t._v("access")]),t._v("属性中逗号分隔的值的解释取决于所使用的"),a("a",{attrs:{href:"#ns-access-manager"}},[t._v("AccessDecisionManager")]),t._v("的实现。")]),t._v(" "),a("p",[a("RouterLink",{attrs:{to:"/spring-security/kotlin.html"}},[t._v("Kotlin Configuration")]),a("RouterLink",{attrs:{to:"/test/index.html"}},[t._v("Testing")])],1)])}),[],!1,null,null,null);e.default=s.exports}}]);