Spring Security 学习系列(6) - Spring Security 配置 之间的关联关系

    <http use-expressions="true">
        <intercept-url pattern="/secure/**" access="hasRole('supervisor')"/>
        <intercept-url pattern="/**" access="isAuthenticated()" />
        <form-login />
        <logout logout-success-url="/loggedout.jsp" delete-cookies="JSESSIONID"/>
        <remember-me />
    </http>

 

    <authentication-manager>
        <authentication-provider>
            <password-encoder ref="encoder"/>
            <user-service>
                <user name="administrator" password="07a130111f1f911148fc3fa252add84a89fefb39fa4559648a08543f1b79cfbd74dfa6a05e389fc5" authorities="supervisor, user, teller" />
                <user name="operator" password="270bbd890ad86ad4847a49c3b0058ccc3c4c9cfee31446b3cf032c0d4d15354b36473c0f063c6ce7" authorities="user" />
            </user-service>
        </authentication-provider>
    </authentication-manager>

 

上述看似独立的两段， 它们之间是如何协调工作的呢？ 又是如何建立关系的呢？

 

这得从Spring Security 的配置解析说起， Spring Security 的遇到 <http> 标签时， 会去查看该标签的内容， 再根据标签内容建立一系列的 Filter, 组成 FilterChain, 这些Filter 有：

 

SecurityContextPersistenceFilter

SessionManagementFilter

RequestCacheFilter

SecurityContextHolderAwareRequestFilter

JaasApiIntegrationFilter

ChannelProcessingFilter

FilterSecurityInterceptor

 

其中 FilterSecurityInterceptor 需要注入AuthenticationManager,  Spring Security的方案是看 <http> 标签中的authentication-manager-ref 属性，这个属性直接对应 标签 <authentication-manager> 生成的Bean, 使用这种方式则标签 <authcentication-manager> 需要声明Id号。 如果该属性什么值都没有， 则看一下上下文中有没有 Id  为 org.springframework.security.authenticationManager 的Bean, 这个Bean实际上就是由标签 <authentication-manager> 生成的（不带Id号）。