- 浏览: 1202308 次
- 性别:
- 来自: 杭州
文章分类
最新评论
-
insistboy:
写的太棒了,受不了
WebLogic11g-创建域(Domain) -
goldyeah:
厉害了 困扰我大半个月的问题解决了 谢谢博主
WebLogic11g-单双向SSL配置(以Springside3为例) -
zy315351965:
404伤不起
开源流程引擎Snaker -
nannan408:
双向的时候谷歌提示“不接受您的登录证书,或者您可能没有提供登录 ...
WebLogic11g-单双向SSL配置(以Springside3为例) -
一颗赛艇:
不成功啊。启动有问题 <Security> < ...
WebLogic11g-单双向SSL配置(以Springside3为例)
在FilterChainProxy初始化的过程中,大概描述了标签解析的一些步骤,但不够详细
http标签的解析过程由类org.springframework.security.config.http.HttpSecurityBeanDefinitionParser解析。
至此,大概http标签的解析已经差不多了,虽然每个Filter的BeanDefinition创建过程还没有一一细说,但基本步骤如下:
1.通过Filter的类路径获取BeanDefinitionBuilder对象,如
BeanDefinitionBuilder filterBuilder = BeanDefinitionBuilder.rootBeanDefinition(filterClassName);
2.解析xml标签属性,再通过BeanDefinitionBuilder的addPropertyValue、addPropertyReference等方法设置Filter对应BeanDefinition的属性值、依赖bean
3.注册BeanDefinition。通过
ParserContext.registerBeanComponent(
new BeanComponentDefinition(BeanDefinition,beanId));
完成bean的注册。还可以通过ParserContext.getRegistry().registerAlias
方法注册bean的别名
实际上,标签解析就是构造BeanDefinition,然后注册到bean factory中。而BeanDefinition就是Spring中定义bean的数据结构。
<http auto-config="true"> <remember-me key="workweb" token-validity-seconds="3600" data-source-ref="dataSource"/> <form-login login-page="/login.jsp"/> <logout logout-success-url="/login.jsp"/> <intercept-url pattern="/*" access="ROLE_USER"/> </http>
http标签的解析过程由类org.springframework.security.config.http.HttpSecurityBeanDefinitionParser解析。
public BeanDefinition parse(Element element, ParserContext pc) { CompositeComponentDefinition compositeDef = new CompositeComponentDefinition(element.getTagName(), pc.extractSource(element)); pc.pushContainingComponent(compositeDef); final Object source = pc.extractSource(element); //portMapperName、matcher主要提供给SSL相关类使用 final String portMapperName = createPortMapper(element, pc); final UrlMatcher matcher = createUrlMatcher(element); //http标签构造器,该构造函数中对intercept-url、create-session子标签 //进行了预处理,并将所有的intercept-url信息放到List中。 HttpConfigurationBuilder httpBldr = new HttpConfigurationBuilder(element, pc, matcher, portMapperName); //处理List中的intercept-url信息(如pattern、filters),并将结果放到 //Map集合filterChainMap中 httpBldr.parseInterceptUrlsForEmptyFilterChains(); //创建过滤器SecurityContextPersistenceFilter httpBldr.createSecurityContextPersistenceFilter(); //创建过滤器SessionManagementFilter httpBldr.createSessionManagementFilters(); //新建一个空的provider集合 ManagedList<BeanReference> authenticationProviders = new ManagedList<BeanReference>(); //通过空的provider集合产生一个ProviderManager的bean定义 BeanReference authenticationManager = createAuthenticationManager(element, pc, authenticationProviders, null); //创建过滤器SecurityContextHolderAwareRequestFilter httpBldr.createServletApiFilter(); //判断intercept-url标签是否有requires-channel属性,如果有,则创建过滤器 //ChannelProcessingFilter httpBldr.createChannelProcessingFilter(); //创建过滤器FilterSecurityInterceptor //这个创建过程比较复杂,分别为: //1.需要判断是否使用表达式use-expressions //2.解析intercept-url中的access等属性 //3.RoleVoter、AffirmativeBased的定义………… httpBldr.createFilterSecurityInterceptor(authenticationManager); //下面是与认证有关的过滤器,HttpConfigurationBuilder, //AuthenticationConfigBuilder将解析的职责进行了分离 AuthenticationConfigBuilder authBldr = new AuthenticationConfigBuilder(element, pc, httpBldr.isAllowSessionCreation(), portMapperName); //创建过滤器AnonymousAuthenticationFilter,并且构造了provider: //AnonymousAuthenticationProvider,供ProviderManager使用 authBldr.createAnonymousFilter(); //判断是否有remember-me标签,如果有,则创建过滤器 //RememberMeAuthenticationFilter,并且构造了provider: //RememberMeAuthenticationProvider供ProviderManager使用 authBldr.createRememberMeFilter(authenticationManager); //判断是否有request-cache标签,如果有,则构造ref指明的bean定义 //如果没有,则构造HttpSessionRequestCache缓存 authBldr.createRequestCache(); //创建过滤器BasicAuthenticationFilter authBldr.createBasicFilter(authenticationManager); //创建LoginUrlAuthenticationEntryPoint,以及创建过滤器 //UsernamePasswordAuthenticationFilter authBldr.createFormLoginFilter(httpBldr.getSessionStrategy(), authenticationManager); //判断是否使用了openid-login,如果有,则构造openId客户端 //org.springframework.security.openid.OpenID4JavaConsumer authBldr.createOpenIDLoginFilter(httpBldr.getSessionStrategy(), authenticationManager); //判断是否使用了x509,如果有,则创建过滤器 //X509AuthenticationFilter authBldr.createX509Filter(authenticationManager); //判断是否配置了logout,如果有,则创建过滤器LogoutFilter authBldr.createLogoutFilter(); //判断是否配置login-page属性,如果没有,则创建过滤器 //DefaultLoginPageGeneratingFilter,生成默认登录页面 authBldr.createLoginPageFilterIfNeeded(); //创建UserDetailsServiceInjectionBeanPostProcessor //动态向x509、openID、rememberme服务注入UserDetailsService //主要使用了spring的BeanPostProcessor接口功能 authBldr.createUserServiceInjector(); //创建过滤器ExceptionTranslationFilter authBldr.createExceptionTranslationFilter(); List<OrderDecorator> unorderedFilterChain = new ArrayList<OrderDecorator>(); //向FilterChain链中添加filters unorderedFilterChain.addAll(httpBldr.getFilters()); unorderedFilterChain.addAll(authBldr.getFilters()); //向ProviderManager中添加provider authenticationProviders.addAll(authBldr.getProviders()); BeanDefinition requestCacheAwareFilter = new RootBeanDefinition(RequestCacheAwareFilter.class); requestCacheAwareFilter.getPropertyValues().addPropertyValue("requestCache", authBldr.getRequestCache()); unorderedFilterChain.add(new OrderDecorator(requestCacheAwareFilter, REQUEST_CACHE_FILTER)); //添加自定义的Filter,也就是custom-filter标签定义的Filter unorderedFilterChain.addAll(buildCustomFilterList(element, pc)); //对FilterChian链中的Filter进行排序,排序规则参见SecurityFilters枚举类 Collections.sort(unorderedFilterChain, new OrderComparator()); checkFilterChainOrder(unorderedFilterChain, pc, source); List<BeanMetadataElement> filterChain = new ManagedList<BeanMetadataElement>(); for (OrderDecorator od : unorderedFilterChain) { filterChain.add(od.bean); } ManagedMap<BeanDefinition, List<BeanMetadataElement>> filterChainMap = httpBldr.getFilterChainMap(); BeanDefinition universalMatch = new RootBeanDefinition(String.class); universalMatch.getConstructorArgumentValues().addGenericArgumentValue(matcher.getUniversalMatchPattern()); filterChainMap.put(universalMatch, filterChain); //构造FilterChainProxy的Bean registerFilterChainProxy(pc, filterChainMap, matcher, source); pc.popAndRegisterContainingComponent(); return null; }
至此,大概http标签的解析已经差不多了,虽然每个Filter的BeanDefinition创建过程还没有一一细说,但基本步骤如下:
1.通过Filter的类路径获取BeanDefinitionBuilder对象,如
BeanDefinitionBuilder filterBuilder = BeanDefinitionBuilder.rootBeanDefinition(filterClassName);
2.解析xml标签属性,再通过BeanDefinitionBuilder的addPropertyValue、addPropertyReference等方法设置Filter对应BeanDefinition的属性值、依赖bean
3.注册BeanDefinition。通过
ParserContext.registerBeanComponent(
new BeanComponentDefinition(BeanDefinition,beanId));
完成bean的注册。还可以通过ParserContext.getRegistry().registerAlias
方法注册bean的别名
实际上,标签解析就是构造BeanDefinition,然后注册到bean factory中。而BeanDefinition就是Spring中定义bean的数据结构。
评论
3 楼
xsd_旧
2015-11-08
2 楼
Cappuccino12
2015-01-12
有用~可是能不能 在解析下http标签里的属性都是什么意思?
1 楼
李永
2014-03-19
发表评论
-
Spring Security3源码分析-电子书下载
2012-07-30 14:34 8626提供电子书下载链接。 -
Spring Security3源码分析-CAS支持
2012-05-13 21:03 25881Spring Security3对CAS的支持主要在这个spr ... -
Spring Security3源码分析-SSL支持
2012-05-10 12:48 11169Sping Security3对于SSL的支持仅仅表现在对需要 ... -
Spring Security3源码分析-认证授权分析
2012-05-09 21:59 6479前面分析了FilterChainProxy执行过程,也对常用的 ... -
Spring Security3源码分析-Filter链排序分析
2012-05-09 14:39 15468通过前面Spring Security提供的各种Filter的 ... -
Spring Security3源码分析-RequestCacheAwareFilter分析
2012-05-09 12:55 5031RequestCacheAwareFilter过滤器对应的类路 ... -
Spring Security3源码分析-ExceptionTranslationFilter分析
2012-05-09 10:03 7951ExceptionTranslationFilter过滤器对应 ... -
Spring Security3源码分析-SessionManagementFilter分析-下
2012-05-08 21:03 6432很多spring security3资料在 ... -
Spring Security3源码分析-SessionManagementFilter分析-上
2012-05-08 17:26 11036SessionManagementFilter过滤 ... -
Spring Security3源码分析-AnonymousAuthenticationFilter分析
2012-05-08 10:32 5302AnonymousAuthenticationFilter ... -
Spring Security3源码分析-BasicAuthenticationFilter分析
2012-05-08 09:24 9707BasicAuthenticationFilter过滤器对应的 ... -
Spring Security3源码分析-FilterSecurityInterceptor分析
2012-05-07 17:31 15406FilterSecurityInterceptor过滤器对应的 ... -
Spring Security3源码分析-SecurityContextHolderAwareRequestFilter分析
2012-05-07 10:34 6896SecurityContextHolderAwareReque ... -
Spring Security3源码分析-RememberMeAuthenticationFilter分析
2012-05-06 22:33 6044RememberMeAuthenticationFilter过 ... -
Spring Security3源码分析-UsernamePasswordAuthenticationFilter分析
2012-05-06 11:54 24962UsernamePasswordAuthenticationF ... -
Spring Security3源码分析-LogoutFilter分析
2012-05-06 10:18 10473LogoutFilter过滤器对应的类路径为 org.spri ... -
Spring Security3源码分析-SecurityContextPersistenceFilter分析
2012-05-06 08:22 8876通过观察Filter的名字,就能大概猜出来这个过滤器的作用,是 ... -
Spring Security3源码分析-FilterChainProxy执行过程分析
2012-05-06 07:48 4325通过FilterChainProxy的初始化、自定义标签的分析 ... -
Spring Security3源码分析-authentication-manager标签解析
2012-05-05 16:13 21778讲解完http标签的解析过程,authentication-m ... -
Spring Security3源码分析-FilterChainProxy初始化
2012-05-04 16:57 20158很久没有更新博客了,最近对Spring Security做了比 ...
相关推荐
Spring Security OAuth2 是一个强大的框架,用于为Java应用提供OAuth2和OpenID Connect...通过阅读和分析`spring-security-oauth-master`中的源码,可以更深入地了解其实现细节,有助于在实际项目中灵活运用和定制。
总结,Spring Security 3的源码分析是一个深度学习的过程,涵盖了安全领域的多个方面。通过理解其内部工作机制,开发者可以更好地利用这一强大的框架,为应用程序提供安全的保障。同时,源码分析也能帮助开发者解决...
### Spring Security 源码分析知识...以上内容涵盖了 Spring Security 3 的源码分析中几个关键点的具体内容。通过对这些内容的深入学习和理解,可以更好地掌握 Spring Security 的工作原理及其在实际项目中的应用技巧。
SpringSecurity是Java开发中用于构建安全Web应用的框架,它提供了强大的身份验证、...在学习过程中,分析提供的源代码和示例将有助于深入理解SpringSecurity的工作原理,并能帮助你在实际项目中有效地应用这些知识。
在学习SpringSecurity源码时,建议从以下几个方面入手: 1. **源码结构分析**:了解主要组件的类结构和它们之间的关系,如`Authentication`、`Authorization`、`FilterChainProxy`等。 2. **关键类的实现**:深入...
Spring 源代码分析系列涵盖了多个关键模块,包括事务处理、IoC容器、JDBC、MVC、AOP以及与Hibernate和Acegi安全框架的集成。以下是对这些知识点的详细阐述: 1. **Spring 事务处理**:Spring 提供了声明式事务管理...
《Spring Security 3.1.3 源码实例解析》 Spring Security 是一个功能强大的安全框架,广泛应用于Java EE应用程序的安全控制。本实例聚焦于Spring Security 3.1.3版本,为初学者提供了宝贵的参考资料,帮助开发者...
《深入剖析Spring Security Web 3源码...总结,通过对`spring-security-web-3`源码的分析,开发者不仅可以掌握Spring Security的内在工作原理,还能提升解决实际安全问题的能力,为构建更安全的Web应用提供坚实的基础。
本篇文章将深入探讨Spring Security的核心概念和源码分析。 1. **核心组件** - `SecurityContextHolder`: 它是Spring Security的核心,存储当前请求的安全上下文,包含认证信息和权限。 - `Authentication`: 表示...
实践是检验真理的唯一标准,通过分析和运行源码,你将能更好地掌握Spring框架的精髓。 总之,这份资料对于Spring初学者或希望深入理解Spring的开发者来说是一份宝贵的资源。通过系统学习并结合实践,你将能够熟练地...
《深入理解Spring Security OAuth2密码模式获取Token的源码解析》 在当今的Web应用程序开发中,安全性和授权是至关重要的部分。Spring Security作为一个强大的安全框架,为Java开发者提供了丰富的功能来保护应用。...
在深入分析SpringSecurity源码之前,我们先了解一些基础概念。 1. DelegatingFilterProxy:这是一个Spring框架提供的过滤器,它作为代理来调用实际的Filter。在web.xml中,filter-name设置为...
《Spring Framework 5.3.4 源码解析与深度探索》 Spring Framework作为Java领域最广泛应用的开源框架之一,其稳定性和灵活性备受开发者喜爱。本次我们关注的是它的5.3.4版本,官方源码的发布为开发者提供了一个深入...
6. **源码分析**:"Spring-Security安全权限管理手册.pdf"可能包含了对Spring Security框架的深入解析,包括其架构设计、核心类的使用方法以及最佳实践等。而"springsecurity-sample.rar"则可能是包含示例代码的...
Spring Security源码分析六:Spring Social 社交登录源码解析 Spring Security源码分析七:Spring Security 记住我 Spring Security源码分析八:Spring Security 退出 Spring Security源码分析九:Spring Security ...
5. **源码解析**:深入理解Spring Security的源码可以帮助我们更好地定制和优化功能。例如,研究`AuthenticationManager`是如何处理认证请求,以及`SecurityContext`如何存储和恢复`Authentication`对象。 总的来说...
3. 强化了安全特性,包括对Spring Security的升级和集成,增强了对OAuth2、JWT等身份验证和授权机制的支持。 4. 优化了测试框架,如Spring Test和Spring Boot Test,提供了更强大的测试工具和API,简化了单元测试和...
本文将从零开始,逐步解析Spring Security的核心概念、配置和实际应用。 一、Spring Security简介 Spring Security是Spring生态体系中的一个核心组件,它为Java应用程序提供了灵活且可扩展的安全管理框架。Spring ...
本篇文章将深入探讨Spring Security的核心概念、架构及其源码分析。 1. **核心组件** - **Filter Chain**: Spring Security 的核心是过滤器链,它处理HTTP请求,执行安全相关的操作,如认证和授权。 - **...