Terry.Li-彬

    <ref bean="rememberMeServices"/>标记指向了我们另外配置的一个Bean：

    TokenBasedRememberMeServices继承自系统的AbstractRememberMeServices抽象类（实现了 RememberMeServices和 LogoutHandler两个接口）， RememberMeServices接口的loginSuccess方法负责在用户成功登录之后将用户的认证信息存入Cookie中，这个类在后续的过 滤器执行过程中也会被用到。

    另一个userDetailsService属性也是指向了我们配置的Bean， 它负责从数据库中读取用户的信息，这个类的详细配置将在后面的部分详细介绍，这里只是简单的认识一下。

    过滤器链的下个配置的过滤器是authenticationProcessingFilter（认证过程过滤器），我们使用它来处理表单认证，当接受到与filterProcessesUrl所定义相同的请求时它开始工作：

    下面列出了认证过程过滤器配置中各个属性的功能：

    1.authenticationManager     认证管理器

    2.authenticationFailureUrl 定义登录失败时转向的页面

    3.defaultTargetUrl         定义登录成功时转向的页面

    4.filterProcessesUrl        定义登录请求的地址（在web.xml中配置过）

    5.rememberMeServices        在验证成功后添加cookie信息

    这里也用到了rememberMeServices，如果用户认证成功，将调用RememberMeServices的loginSuccess方法将用户认证信息写入Cookie中，这里也可以看到使用IoC的好处。

    决定用户是否有权限访问受保护资源的第一步就是要确定用户的身份，最常用的方式就是用户提供一个用户名和密码以确认用户的身份是否合法，这一步就是由认证 过程过滤器调用authenticationManager（认证管理器）来完成的。 org.springframework.security.AuthenticationManager接口定义了一个authenticate方法， 它使用Authentication作为入口参数（只包含用户名和密码），并在验证成功后返回一个完整的Authentication对象（包含用户的权 限信息GrantedAuthority数组对象），authenticationProcessingFilter（认证过程过滤器）会将这个完整的 Authentication对象存入SecurityContext中，如果认证失败会抛出一个AuthenticationException并跳转 到authenticationFailureUrl 定义的URL.认证管理其配置如下：

    正如在配置中看到的一样，系统使用org.springframework.security.providers.ProviderManager（提 供者管理器）类作为认证管理器的一个实现，事实上这个类是继承自实现了AuthenticationManager接口的 AbstractAuthenticationManager类。需要注意的是ProviderManager（提供者管理器）自己并不实现身份验证，而 是把这项工作交给了多个认证提供者（提供者集合）或者说的多个认证来源。

    providers属性定义了提供者管理器的集合，ProviderManager（提供者管理器）逐一遍历这个认证提供者的集合并调用提供者的 authenticate方法，如果一个提供者认证失败会尝试另外一个提供者直到某一个认证提供者能够成功的验证该用户的身份，以保证获取不同来源的身份 认证。下面表格列出了系统提供的一些认证提供者：

    在实际项目中，用户的身份和权限信息可能存储在不同的安全系统中（如数据库，LDAP服务器，CA中心）。

    作为程序员，我们可以根据需要选择不同的AuthenticationProvider（认证提供者）来对自己的系统提供认证服务。

    这里我们着重介绍DaoAuthenticationProvider，它从数据库中读取用户信息验证身份，配置如下：

    还记得前面配置的RememberMeServices吗？它也有一个和DaoAuthenticationProvider同样的属性 userDetailsService，这是系统提供的一个接口 （org.springframework.security.userdetails.UserDetailsService），在这里我们把它单独提 出来进行介绍。

    首先我们需要了解Spring Security为我们提供的另外一个重要的组件，org.springframework.security.userdetails .UserDetails接口，它代表一个应用系统的用户，该接口定义与用户安全信息相关的方法：

    String getUsername（）：获取用户名；

    String getPassword（）：获取密码；

    boolean isAccountNonExpired（）：用户帐号是否过期；

    boolean isAccountNonLocked（）：用户帐号是否锁定；

    boolean isCredentialsNonExpired（）：用户的凭证是否过期；

    boolean isEnabled（）：用户是否处于激活状态。

    当以上任何一个判断用户状态的方法都返回false时，用户凭证就被视为无效。UserDetails接口还定义了获取用户权限信息的 getAuthorities（）方法，该方法返回一个GrantedAuthority[]数组对象，GrantedAuthority是用户权限信息 对象，这个对象中定义了一个获取用户权限描述信息的getAuthority（）方法。

    UserDetails即可从数据库中返回，也可以从其它如LDAP中返回，这取决与你的系统中使用什么来存储用户信息和权限以及相应的认证提供者。这里 我们只重点介绍DaoAuthenticationProvider（从数据库中获取用户认证信息的提供者），本人水平有限，在项目中还没有机会用到其它 提供者。说到这里，这个封装了用户详细信息的UserDetails该从哪儿获取呢？这就是我们接下来要介绍的UserDetailsService接 口，这个接口中只定义了唯一的UserDetails loadUserByUsername（String username）方法，它通过用户名来获取整个UserDetails对象。

    看到这里你可能会有些糊涂，因为前面提到的Authentication对象中也存放了用户的认证信息，需要注意Authentication对象才是 Spring Security使用的进行安全访问控制用户信息安全对象。实际上，Authentication对象有未认证和已认证两种状态，在作为参数传入认证管理 器（AuthenticationManager）的authenticate方法时，是一个未认证的对象，它从客户端获取用户的身份信息（如用户名，密 码），可以是从一个登录页面，也可以从Cookie中获取，并由系统自动构造成一个Authentication对象。而这里提到的 UserDetails代表一个用户安全信息的源（从数据库，LDAP服务器，CA 中心返回），Spring Security要做的就是将这个未认证的Authentication对象和UserDetails进行匹配，成功后将UserDetails中的用户 权限信息拷贝到Authentication中组成一个完整的Authentication对象，共其它组件共享。

    这样，我们就可以在系统中获取用户的相关信息了，需要使用到Authentication对象定义的Object getPrincipal（）方法，这个方法返回一个Object类型的对象，通常可以将它转换为UserDetails，从而可以获取用户名，密码以及 权限等信息。代码如下：

    前面介绍了DaoAuthenticationProvider，它可以从数据库中读取用户信息，同样也可以从一个用户属性文件中读取，下一篇文章中我们 在介绍如何从数据库中读取用户信息，当然还会涉及到更深入的东西，比如根据自己系统的需要自定义UserDetails和 UserDetailsService，这个只是让你对整个系统有个简单的了解，所以我们使用用户属性文件（users.properties）来存储用 户信息：

    配置userDetailsService：

    InMemoryDaoImpl类是UserDetailsService接口的一个实现，它从属性文件里读取用户信息，Spring Security使用一个属性编辑器将用户信息为我们组织成一个 org.springframework.security.userdetails.memory.UserMap类的对象，我们也可以直接为它提供一 个用户权限信息的列表，详见applicationContext-security.xml配置文件。

    UserMap字符串的每一行都用键值对的形式表示，前面是用户名，然后是等号，后面是赋予该用户的密码/权限等信息，它们使用逗号隔开。比如：

    定义了一个名为admin的用户登录密码为admin，该用户拥有ROLE_SUPERVISOR权限，再如users.properties文件中配置 的名为user3的用户登录密码为user3，该用户拥有ROLE_USER权限，disabled定义该用户不可用，为被激活（UserDetails 的isEnabled方法）。

即使是系统的开发者或者说是最终用户，都不应该看到系统中有明文的密码。所以，Spring Security考虑的还是很周到的，为我们提供的密码加密的功能。正如你在Dao认证提供者（DaoAuthenticationProvider）中 看到的，passwordEncoder属性配置的就是一个密码加密程序（密码编码器）。这里我们使用MD5加密，可以看配置文件中的scott用户，你 还能看出他的密码是什么吗？当然这里只是演示功能，其它用户还是没有改变，你可以自己试试。系统为我们提供了一些常用的密码编码器（这些编码器都位于 org.springframework.secu rity.providers.encoding包下）：

    PlaintextPasswordEncoder（默认）——不对密码进行编码，直接返回未经改变的密码；

    Md4PasswordEncoder ——对密码进行消息摘要（MD4）编码；

    Md5PasswordEncoder ——对密码进行消息摘要（MD5）编码；

    ShaPasswordEncoder ——对密码进行安全哈希算法（SHA）编码。

    你可以根据需要选择合适的密码编码器，你也可以设置编码器的种子源（salt source）。一个种子源为编码提供种子（salt），或者称编码的密钥，这里不再赘述。

    这里附加介绍了不少东西，希望你还没有忘记在AuthenticationManager（认证管理器）中还配置了一个名为 sessionController的Bean，这个Bean可以阻止用户在进行了一次成功登录以后在进行一次成功的登录。在 applicationContext-security.xml配置文件添加sessionController的配置：

    maximumSessions属性配置了只允许同一个用户登录系统一次，exceptionIfMaximumExceeded属性配置了在进行第二次 登录是是否让第一次登录失效。这里设置为true不允许第二次登录。要让此功能生效，我们还需要在web.xml文件中添加一个监听器，以让Spring Security能获取Session的生命周期事件，配置如下：

    HttpSessionEventPublisher类实现javax.servlet.http.HttpSessionListener接口，在 Session被创建的时候通过调用ApplicationContext的publishEvent（ApplicationEvent event）发布HttpSessionCreatedEvent类型的事件，HttpSessionCreatedEvent类继承自 org.springframework.context.ApplicationEvent类的子类 HttpSessionApplicationEvent抽象类。

    concurrentSessionController使用sessionRegistry来完成对发布的Session的生命周期事件的处 理，org.springframework.security.concurrent.SessionRegistryImpl（实现了 SessionRegistry接口）， SessionRegistryImpl类还实现了Spring Framework 的事件监听org.springframework.context.Application Listener接口，并实现了该接口定义的onApplicationEvent（ApplicationEvent event）方法用于处理Applic ationEvent类型的事件，如果你了解Spring Framework的事件处理，那么这里你应该可以很好的理解。

    认证管理器到此介绍完毕了，认证过程过滤器也介绍完了，接下来我们继续介绍过滤器链的下一个过滤器securityContextHolderAwareRequestFilter：

    这个过滤器使用装饰模式（Decorate Model），装饰的HttpServletRequest对象。其Wapper是ServletRequest包装类 HttpServletRequestWrapper的子类（如SavedRequestAwareWrapper或 SecurityContextHolderAwareRequestWrapper），附上获取用户权限信息，request参数，headers 和 cookies 的方法。

    rememberMeProcessingFilter过滤器配置：

    <bean id="rememberMeProcessingFilter"

    class="org.springframework.security.ui.rememberme.RememberMeProcessingFilter"

    p：authenticationManager-ref="authenticationManager"

    p：rememberMeServices-ref="rememberMeServices"/>

    当SecurityContextHolder中不存在Authentication用户授权信息 时，rememberMeProcessingFilter就会调用rememberMeServices 的autoLogin（）方法从cookie中获取用户信息自动登录。

    anonymousProcessingFilter过滤器配置：

    如果不存在任何授权信息时，自动添加匿名用户身份至SecurityContextHolder中，就是这里配置的userAttribute，系统为用户分配一个ROLE_ANONYMOUS权限。

    exceptionTranslationFilter（异常处理过滤器），该过滤器用来处理在系统认证授权过程中抛出的异常，主要是处理 AccessDeniedException和AuthenticationException两个异常并根据配置跳转到不同URL：