`
snoopy7713
  • 浏览: 1152536 次
  • 性别: Icon_minigender_2
  • 来自: 火星郊区
博客专栏
Group-logo
OSGi
浏览量:0
社区版块
存档分类
最新评论

spring security3进级篇II

阅读更多

本篇文章用户和权限用数据库存储,而资源(url)和权限的对应采用硬编码配置在XML中实现的。

在本篇中需要把用户和权限信息存到数据库中,本例子采用mysql数据库,数据库表如下:

 

Sql代码  收藏代码
  1. CREATE   TABLE  users(  
  2.     username VARCHAR (50)  NOT   NULL ,  
  3.     password   VARCHAR (50)  NOT   NULL ,  
  4.     enabled BOOLEAN NOT   NULL ,  
  5.     PRIMARY   KEY  (username)  
  6. )ENGINE=InnoDB DEFAULT  CHARSET=utf8;  
  7.   
  8.   
  9. CREATE   TABLE  authorities (  
  10. username VARCHAR (50)  NOT   null ,  
  11. authority VARCHAR (50)  NOT   null ,  
  12. CONSTRAINT  fk_authorities_users  FOREIGN   KEY (username)  REFERENCES  users(username)  
  13. )ENGINE=InnoDB DEFAULT  CHARSET=utf8;  
  14.   
  15. CREATE   UNIQUE   INDEX  ix_auth_username  ON  authorities (username,authority);  
  16.   
  17. INSERT   INTO  users(username, password ,enabled)  values ( 'admin' , '21232f297a57a5a743894a0e4a801fc3' ,1);  
  18. INSERT   INTO  users(username, password ,enabled)  values ( 'user' , 'ee11cbb19052e40b07aac0ca060c23ee' ,1);  
  19. INSERT   INTO  authorities  VALUES ( 'admin' , 'ROLE_ADMIN' );  
  20. INSERT   INTO  authorities  VALUES ( 'user' , 'ROLE_USER' );  

 创建名字为sping_security数据库,同时为该工程配置数据库信息,本例子采用了连接池的方式C30,配置如下:

Java代码  收藏代码
  1. <?xml version= "1.0"  encoding= "UTF-8" ?>  
  2. <beans xmlns="http://www.springframework.org/schema/beans"   
  3.     xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"  xmlns:aop= "http://www.springframework.org/schema/aop"   
  4.     xmlns:tx="http://www.springframework.org/schema/tx"  xmlns:context= "http://www.springframework.org/schema/context"   
  5.     xmlns:jee="http://www.springframework.org/schema/jee"   
  6.     xmlns:p="http://www.springframework.org/schema/p"    
  7.     xsi:schemaLocation="  
  8.     http://www.springframework.org/schema/context http://www.springframework.org/schema/context/spring-context.xsd   
  9.     http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd   
  10.     http://www.springframework.org/schema/tx http://www.springframework.org/schema/tx/spring-tx.xsd   
  11.     http://www.springframework.org/schema/aop http://www.springframework.org/schema/aop/spring-aop.xsd   
  12.     http://www.springframework.org/schema/jee http://www.springframework.org/schema/jee/spring-jee.xsd">   
  13.     <description>dataSource配置</description>  
  14.     <!-- 指定数据库配置文件地址. -->  
  15.     <context:property-placeholder location="classpath*:datasource/jdbc.properties" />  
  16.       
  17.     <!-- 定义数据源Bean,使用C3P0连接池数据源实现 -->  
  18.     <bean name="spring_security_dataSource"  id= "spring_security_dataSource"   class = "com.mchange.v2.c3p0.ComboPooledDataSource"   
  19.         destroy-method="close" >  
  20.         <!-- 指定连接数据库的驱动 -->  
  21.         <property name="driverClass"  value= "${jdbc.driverClassName}"  />  
  22.         <!-- 指定连接数据库的URL -->  
  23.         <property name="jdbcUrl"  value= "${jdbc.url}"  />  
  24.         <!-- 指定连接数据库的用户名 -->  
  25.         <property name="user"  value= "${jdbc.username}"  />  
  26.         <!-- 指定连接数据库的密码 -->  
  27.         <property name="password"  value= "${jdbc.password}"  />  
  28.         <!-- C3p0连接池的配置信息 -->  
  29.         <!-- 指定连接池中保留的最大连接数. Default:15  -->  
  30.         <property name="maxPoolSize"  value= "${cpool.maxPoolSize}"  />  
  31.         <!-- 指定连接池中保留的最小连接数 -->  
  32.         <property name="minPoolSize"  value= "${cpool.minPoolSize}"  />  
  33.         <!-- 指定连接池的初始化连接数 取值应在minPoolSize 与 maxPoolSize 之间.Default:3  -->  
  34.         <property name="initialPoolSize"  value= "${cpool.initialPoolSize}"  />  
  35.         <!-- 最大空闲时间,60 秒内未使用则连接被丢弃。若为 0 则永不丢弃。 Default: 0  -->  
  36.         <property name="maxIdleTime"  value= "${cpool.maxIdleTime}"  />  
  37.         <!-- 当连接池中的连接耗尽的时候c3p0一次同时获取的连接数. Default:3  -->  
  38.         <property name="acquireIncrement"  value= "${cpool.acquireIncrement}"  />  
  39.         <!--JDBC 的标准,用以控制数据源内加载的PreparedStatements数量。但由于预缓存的statements属于单个connection而不是整个 连接池所以设置这个参数需要考虑到多方面的因数.如果maxStatements与maxStatementsPerConnection均为0 ,则缓存被关闭。Default: 0  -->  
  40.         <property name="maxStatements"  value= "${cpool.maxStatements}"  />  
  41.         <!-- 每60 秒检查所有连接池中的空闲连接.Default: 0  -->  
  42.         <property name="idleConnectionTestPeriod"  value= "${cpool.idleConnectionTestPeriod}"  />  
  43.         <!-- 定义在从数据库获取新连接失败后重复尝试的次数。 Default:30  -->  
  44.         <property name="acquireRetryAttempts"  value= "${cpool.acquireRetryAttempts}"  />  
  45.         <!--获取连接失败将会引起所有等待连接池来获取连接的线程抛出异常。但是数据源仍有效保留,并在下次调用getConnection()的时候继续尝试获取连接。如果设为true ,那么在尝试获取连接失败后该数据源将申明已断开并永久关闭。Default: false  -->  
  46.         <property name="breakAfterAcquireFailure"  value= "${cpool.breakAfterAcquireFailure}"  />  
  47.         <!--跟性能消耗大请只在需要的时候是哟个它。如果设为true ,那么在每个connection提交的时候都将校验其有效性。建议使用idleConnectionTestPeriod或automaticTestTable等提升连接测试的性能。Default: false  -->  
  48.         <property name="testConnectionOnCheckout"  value= "${cpool.testConnectionOnCheckout}"  />  
  49.         <!--连接关闭时默认将所有未提交的操作回滚。Default: false  -->  
  50.         <property name="autoCommitOnClose"  value= "${cpool.autoCommitOnClose}"  />  
  51.         <!--当连接池用完时客户端调用getConnection()后等待获取新连接的时间,超时后将抛出 SQLException,如设为0 则无限期等待。单位毫秒。Default: 0  -->  
  52.         <property name="checkoutTimeout"  value= "${cpool.checkoutTimeout}"  />  
  53.         <!--c3p0将建一张名为Test的空表,并使用其自带的查询语句进行测试。如果定义了这个参数那么属性preferredTestQuery将被忽略。你不能在这张Test表上进行任何操作,它将只供c3p0测试使用。Default:   
  54.             null  -->  
  55.         <property name="automaticTestTable"  value= "${cpool.automaticTestTable}"  />  
  56.     </bean>   
  57. </beans>  

 jdbc properties

Xml代码  收藏代码
  1. # 数据库配置信息  
  2. jdbc.driverClassName = com .mysql.jdbc.Driver  
  3. jdbc jdbc.url =jdbc:mysql://localhost:3306/spring_security? useUnicode = true & characterEncoding = UTF -8& autoReconnect = true   
  4. jdbc.username = root   
  5. jdbc.password = root   
  6.   
  7.   
  8. # 数据库连接池信息配置  
  9.   
  10. # Connection pool size  
  11. cpool.maxPoolSize = 25   
  12. cpool.minPoolSize = 10   
  13. cpool.initialPoolSize = 15   
  14.   
  15. # How long to keep unused connections around(in seconds)  
  16. # Note: MySQL times out idle connections after 8 hours(28,800 seconds)  
  17. # so ensure this value is below MySQL idle timeout  
  18. cpool.maxIdleTime = 7200   
  19.   
  20. # Acquiring new connections is slow, so eagerly retrieve extra connections  
  21. # when current pool size is reached  
  22. cpool.acquireIncrement = 5   
  23.   
  24. cpool.maxStatements = 0   
  25. cpool.idleConnectionTestPeriod = 60   
  26. cpool.acquireRetryAttempts = 30   
  27. cpool.breakAfterAcquireFailure = true   
  28. cpool.testConnectionOnCheckout = false   
  29. cpool.autoCommitOnClose = true   
  30.   
  31. # Time to wait for an open connection before timing out  
  32. # (in milliseconds)  
  33. cpool.checkoutTimeout = 5000   
  34. cpool.automaticTestTable = test   

 针对权限问题,我们建立了如下的几个页面,用于验证不同权限问题

(1) admin.jsp页面,只允许admin访问。

Java代码  收藏代码
  1. <%@ page language= "java"  contentType= "text/html; charset=UTF-8"   
  2.     pageEncoding="UTF-8" %>  
  3. <!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"   "http://www.w3.org/TR/html4/loose.dtd" >  
  4. <html>  
  5. <head>  
  6. <meta http-equiv="Content-Type"  content= "text/html; charset=UTF-8" >  
  7. <title>管理员页面</title>  
  8. </head>  
  9. <body>  
  10.     欢迎管理员  
  11. </body>  
  12. </html>  

 (2) 页面无权限时403页面,该页面用于显示无权限的页面accessDefined

Html代码  收藏代码
  1. < %@ page  language = "java"   contentType = "text/html; charset=UTF-8"   
  2.     pageEncoding = "UTF-8" % >   
  3. <!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">   
  4. < html >   
  5. < head >   
  6. < meta   http-equiv = "Content-Type"   content = "text/html; charset=UTF-8" >   
  7. < title > 无权访问 </ title >   
  8. </ head >   
  9. < body >   
  10.     你的访问被拒绝,无权访问该资源!  
  11. </ body >   
  12. </ html >   

 (3)在index页面显示用户,注意在页面显示用户信息的时候我们采用了spring security的特殊标签,如果想在java代码中获取用户的信息,采用如下的方式:



 同时,我们添加了用户退出按钮,代码如下:

 

Html代码  收藏代码
  1. < %@ page  language = "java"   contentType = "text/html; charset=UTF-8"   
  2.     pageEncoding = "UTF-8" % >   
  3. < %@taglib  prefix = "sec"   uri = "http://www.springframework.org/security/tags" % >   
  4. < %@taglib  prefix = "c"   uri = "http://java.sun.com/jstl/core" % >   
  5. <!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">   
  6. < html >   
  7. < head >   
  8. < meta   http-equiv = "Content-Type"   content = "text/html; charset=UTF-8" >   
  9. < title > 首页 </ title >   
  10. </ head >   
  11. < body >   
  12.     < h1 > 这里是首页, < sec:authentication   property = "name" /> ! </ h1 >   
  13.     < %   
  14.         String[] str  =  session .getValueNames();  
  15.         for(int i = 0 ;i < str.length ;i++){  
  16.             out.println("key =="+str[i]);  
  17.             out.println("value =="+session.getAttribute(str[i]));  
  18.         }  
  19.     %>   
  20.     < br />   
  21.     < a   href = "admin.jsp" > 进入admin.jsp </ a >   
  22.     <!-- 页面退出的时候 应用spring security的固定url地址-->   
  23.     < br />   
  24.     < a   href = "${pageContext.request.contextPath}/j_spring_security_logout"   /> Logout </ a >    
  25. </ body >   
  26. </ html >   

 

工程结构如下:

 



 (3)部署,我们首先验证权限问题,当admin进入时页面直接显示admin的名字,同时我们访问”进入adim.jsp“,界面过程如下:

 



 

 (4)更换user用户登录,访问admin页面时,界面过程如下:

 



 

 (5) 验证下退出后的情况,当我们点击退出时,直接返回登录界面,点击浏览器后退按钮,返回到原先的界面,点击链接,此时又返回到登录界面,说明退出按钮的session被清空,起作用了。

 

关于权限的控制,spring security提供了标签,直接控制菜单的显示与否,标签用法如下:

 

<sec:authorize ifAllGranted="ROLE_ADMIN" >
<a href="admin.jsp">进入admin.jsp页面</a>
</sec:authorize>

 

sec:authorize 标签的属性:
A) ifAllGranted:只有当前用户拥有所有指定的权限时,才能显示标签体的内容 (相当于“与” 的关系)
B) ifAnyGranted:当前用户拥有指定的权限中的一个的时候,就能显示标签内部内容(相当于“或”的关系)
C) ifNotGranted:没有指定的权限的时候,显示标签体的内容 (相当于“非”的关系)

 

或者可如下方式写

<sec:authorize url="/admin.jsp" >
<a href="admin.jsp">进入admin.jsp页面</a>
</sec:authorize>

分享到:
评论

相关推荐

    Spring Security3中文文档

    文档的翻译者lengyun3566在博客中提到,他翻译了Spring Security3的文档,并在每篇文章的开头强调了版权信息,要求转载时必须注明出处。这表明了作者对知识产权的尊重以及对读者的责任感。 ### 第一章:Spring ...

    spring security进级篇 V 自定义标签控制显示

    这篇"Spring Security进阶篇 V 自定义标签控制显示"的博客文章显然深入探讨了如何在Spring Security中实现自定义的安全控制,以便更好地管理和展示应用内容。在本文中,我们将详细解析这个主题,并与"JSP自定义标签...

    springsecurity3x快速构建企业级安全

    本篇将深入探讨Spring Security 3.x的核心概念和主要功能,帮助你快速理解和应用到企业级项目中。 1. **核心概念** - **认证(Authentication)**:Spring Security提供了多种认证机制,如基于表单的身份验证、...

    spring security3 开发手册

    Spring Security 3作为该框架的一个版本,提供了丰富的安全性配置选项,涵盖了从基础的认证和授权到复杂的单点登录和方法保护等各个方面。 ### 基础篇 #### Hello World示例 Spring Security的入门通常以一个简单...

    spring-security3 入门篇

    本入门篇将介绍Spring Security的基础知识,包括其核心概念、配置以及如何在实际项目中使用。 1. **核心概念** - **Authentication(认证)**: 用户身份验证是Spring Security的基础,它确认用户的身份是否合法。...

    spring security 3.1学习资料 及 附件下载

    Spring Security是Java平台上的一款强大且高度可定制的安全框架,广泛应用于企业级Web应用的安全管理。本篇文章将围绕"Spring Security 3.1"这一主题,深入探讨其核心概念、功能特性以及实际应用。 一、Spring ...

    spring security 安全权限管理手册

    ### Spring Security 安全权限管理手册 #### 第一部分:基础篇 ##### 第1章:一个简单的 HelloWorld 在这一章节中,我们将了解如何搭建一个最基础的 Spring Security 项目,并通过一个简单的示例来理解 Spring ...

    Spring Security详细介绍及使用含完整代码(值得珍藏)

    通过本篇文章的学习,你不仅了解了Spring Security的基本原理和使用方法,还学习了如何在Spring Boot项目中集成和配置Spring Security。这对于开发安全稳定的企业应用来说至关重要。希望你能通过实践进一步掌握...

    Spring Security tutorial 学习笔记(一)

    在 `SpringSecurityTest01` 这个压缩包文件中,你可能找到了一个示例项目,它可能包含了配置类、控制器、视图和测试用例。通过分析这些代码,你可以更深入地理解如何在实际项目中应用 Spring Security。 总之,...

    SpringSecurity3框架

    本篇将深入探讨Spring Security 3的核心概念和主要特性。 1. **核心概念** - **Authentication**(认证):确认用户身份的过程,Spring Security提供了多种认证机制,如基于表单的登录、基于HTTP基本认证或OAuth2...

    Spring Security 3系列文章——入门篇(一)

    **Spring Security 3 系列文章——入门篇(一)** Spring Security 是一个强大的和高度可定制的身份验证和访问控制框架,广泛应用于Java企业级应用和Spring Boot项目中。本篇将作为Spring Security 3的入门介绍,帮助...

    Spring-Security安全权限管理手册

    **基础篇**主要介绍如何配置和使用Spring Security。本节将详细介绍Spring Security的基本配置过程,以及如何通过Maven管理项目的依赖。 - **使用Maven管理依赖**:由于Spring框架本身体积较大(Spring.jar就有2M多...

    spring-security-3.1.0.RC3

    《Spring Security 3.1.0.RC3:企业级安全框架详解》 Spring Security是Java平台上广泛使用的安全框架,其3.1.0.RC3版本为开发者提供了强大而灵活的安全控制,使得构建安全的Web应用变得简单易行。本篇文章将深入...

    spring security的学习-3. 自定义数据库表结构.doc

    在本篇关于“Spring Security的学习-3. 自定义数据库表结构”的文档中,我们将探讨如何根据企业特定的需求来定制Spring Security的数据库表结构,并且如何初始化数据以及获取自定义的用户权限信息。Spring Security...

    Spring Security权限管理开发手册

    而“保护Web篇”则更深入地探讨如何利用Spring Security来保护Web应用程序的安全。 - **意见反馈与相关信息:** - 鼓励读者提出反馈意见和建议,以便不断完善和改进手册内容。 #### 二、基础篇 - **第1章:一个...

    spring security 3权限管理代码

    本篇文章将深入探讨Spring Security 3中的核心概念和实现权限管理的相关知识点。 1. **身份验证(Authentication)**:Spring Security通过`Authentication`接口处理用户的身份验证。当用户尝试访问受保护的资源时...

    Spring Security3 配置使用

    这篇博客将深入探讨Spring Security 3的配置和使用方法。 1. **核心组件** - **SecurityContextHolder**: 它是Spring Security的核心组件,存储当前线程的安全上下文,用于获取认证和授权信息。 - **...

    Spring Security3技术手册

    ### Spring Security3技术手册知识点概览 #### 一、基础篇 **1. 一个简单的Hello World** - **1.1 配置过滤器** - Spring Security通过一系列的过滤器来实现对Web应用程序的安全控制。了解如何配置这些过滤器是...

Global site tag (gtag.js) - Google Analytics