`

Spring源代码解析（十）：Spring Acegi框架授权的实现

Spring框架AcegiAccessSecurity 
阅读更多

我们从FilterSecurityInterceptor我们从入手看看怎样进行授权的：

Java代码 复制代码
  1. //这里是拦截器拦截HTTP请求的入口   
  2.     public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)   
  3.         throws IOException, ServletException {   
  4.         FilterInvocation fi = new FilterInvocation(request, response, chain);   
  5.         invoke(fi);   
  6.     }   
  7. //这是具体的拦截调用   
  8.     public void invoke(FilterInvocation fi) throws IOException, ServletException {   
  9.         if ((fi.getRequest() != null) && (fi.getRequest().getAttribute(FILTER_APPLIED) != null)   
  10.             && observeOncePerRequest) {   
  11.            //在第一次进行过安全检查之后就不会再做了   
  12.             fi.getChain().doFilter(fi.getRequest(), fi.getResponse());   
  13.         } else {   
  14.             //这是第一次收到相应的请求，需要做安全检测，同时把标志为设置好 -  FILTER_APPLIED，下次就再有请求就不会作相同的安全检查了   
  15.             if (fi.getRequest() != null) {   
  16.                 fi.getRequest().setAttribute(FILTER_APPLIED, Boolean.TRUE);   
  17.             }   
  18.             //这里是做安全检查的地方   
  19.             InterceptorStatusToken token = super.beforeInvocation(fi);   
  20.             //接着向拦截器链执行   
  21.             try {   
  22.                 fi.getChain().doFilter(fi.getRequest(), fi.getResponse());   
  23.             } finally {   
  24.                 super.afterInvocation(token, null);   
  25.             }   
  26.         }   
  27.     }  
//这里是拦截器拦截HTTP请求的入口
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
        throws IOException, ServletException {
        FilterInvocation fi = new FilterInvocation(request, response, chain);
        invoke(fi);
    }
//这是具体的拦截调用
    public void invoke(FilterInvocation fi) throws IOException, ServletException {
        if ((fi.getRequest() != null) && (fi.getRequest().getAttribute(FILTER_APPLIED) != null)
            && observeOncePerRequest) {
           //在第一次进行过安全检查之后就不会再做了
            fi.getChain().doFilter(fi.getRequest(), fi.getResponse());
        } else {
            //这是第一次收到相应的请求，需要做安全检测，同时把标志为设置好 -  FILTER_APPLIED，下次就再有请求就不会作相同的安全检查了
            if (fi.getRequest() != null) {
                fi.getRequest().setAttribute(FILTER_APPLIED, Boolean.TRUE);
            }
            //这里是做安全检查的地方
            InterceptorStatusToken token = super.beforeInvocation(fi);
            //接着向拦截器链执行
            try {
                fi.getChain().doFilter(fi.getRequest(), fi.getResponse());
            } finally {
                super.afterInvocation(token, null);
            }
        }
    }


我们看看在AbstractSecurityInterceptor是怎样对HTTP请求作安全检测的：

Java代码 复制代码
  1. protected InterceptorStatusToken beforeInvocation(Object object) {   
  2.     Assert.notNull(object, "Object was null");   
  3.   
  4.     if (!getSecureObjectClass().isAssignableFrom(object.getClass())) {   
  5.         throw new IllegalArgumentException("Security invocation attempted for object "  
  6.             + object.getClass().getName()   
  7.             + " but AbstractSecurityInterceptor only configured to support secure objects of type: "  
  8.             + getSecureObjectClass());   
  9.     }   
  10.     //这里读取配置FilterSecurityInterceptor的ObjectDefinitionSource属性，这些属性配置了资源的安全设置   
  11.     ConfigAttributeDefinition attr = this.obtainObjectDefinitionSource().getAttributes(object);   
  12.   
  13.     if (attr == null) {   
  14.         if(rejectPublicInvocations) {   
  15.             throw new IllegalArgumentException(   
  16.                   "No public invocations are allowed via this AbstractSecurityInterceptor. "  
  17.                 + "This indicates a configuration error because the "  
  18.                 + "AbstractSecurityInterceptor.rejectPublicInvocations property is set to 'true'");   
  19.         }   
  20.   
  21.         if (logger.isDebugEnabled()) {   
  22.             logger.debug("Public object - authentication not attempted");   
  23.         }   
  24.   
  25.         publishEvent(new PublicInvocationEvent(object));   
  26.   
  27.         return null; // no further work post-invocation   
  28.     }   
  29.   
  30.   
  31.     if (logger.isDebugEnabled()) {   
  32.         logger.debug("Secure object: " + object.toString() + "; ConfigAttributes: " + attr.toString());   
  33.     }   
  34.     //这里从SecurityContextHolder中去取Authentication对象，一般在登录时会放到SecurityContextHolder中去   
  35.     if (SecurityContextHolder.getContext().getAuthentication() == null) {   
  36.         credentialsNotFound(messages.getMessage("AbstractSecurityInterceptor.authenticationNotFound",   
  37.                 "An Authentication object was not found in the SecurityContext"), object, attr);   
  38.     }   
  39.   
  40.     // 如果前面没有处理鉴权，这里需要对鉴权进行处理   
  41.     Authentication authenticated;   
  42.   
  43.     if (!SecurityContextHolder.getContext().getAuthentication().isAuthenticated() || alwaysReauthenticate) {   
  44.         try {//调用配置好的AuthenticationManager处理鉴权，如果鉴权不成功，抛出异常结束处理   
  45.             authenticated = this.authenticationManager.authenticate(SecurityContextHolder.getContext()   
  46.                                                                                          .getAuthentication());   
  47.         } catch (AuthenticationException authenticationException) {   
  48.             throw authenticationException;   
  49.         }   
  50.   
  51.         // We don't authenticated.setAuthentication(true), because each provider should do that   
  52.         if (logger.isDebugEnabled()) {   
  53.             logger.debug("Successfully Authenticated: " + authenticated.toString());   
  54.         }   
  55.         //这里把鉴权成功后得到的Authentication保存到SecurityContextHolder中供下次使用   
  56.         SecurityContextHolder.getContext().setAuthentication(authenticated);   
  57.     } else {//这里处理前面已经通过鉴权的请求，先从SecurityContextHolder中去取得Authentication   
  58.         authenticated = SecurityContextHolder.getContext().getAuthentication();   
  59.   
  60.         if (logger.isDebugEnabled()) {   
  61.             logger.debug("Previously Authenticated: " + authenticated.toString());   
  62.         }   
  63.     }   
  64.   
  65.     // 这是处理授权的过程   
  66.     try {   
  67.         //调用配置好的AccessDecisionManager来进行授权   
  68.         this.accessDecisionManager.decide(authenticated, object, attr);   
  69.     } catch (AccessDeniedException accessDeniedException) {   
  70.         //授权不成功向外发布事件   
  71.         AuthorizationFailureEvent event = new AuthorizationFailureEvent(object, attr, authenticated,   
  72.                 accessDeniedException);   
  73.         publishEvent(event);   
  74.   
  75.         throw accessDeniedException;   
  76.     }   
  77.   
  78.     if (logger.isDebugEnabled()) {   
  79.         logger.debug("Authorization successful");   
  80.     }   
  81.   
  82.     AuthorizedEvent event = new AuthorizedEvent(object, attr, authenticated);   
  83.     publishEvent(event);   
  84.   
  85.     // 这里构建一个RunAsManager来替代当前的Authentication对象，默认情况下使用的是NullRunAsManager会把SecurityContextHolder中的Authentication对象清空   
  86.     Authentication runAs = this.runAsManager.buildRunAs(authenticated, object, attr);   
  87.   
  88.     if (runAs == null) {   
  89.         if (logger.isDebugEnabled()) {   
  90.             logger.debug("RunAsManager did not change Authentication object");   
  91.         }   
  92.   
  93.         // no further work post-invocation   
  94.         return new InterceptorStatusToken(authenticated, false, attr, object);   
  95.     } else {   
  96.         if (logger.isDebugEnabled()) {   
  97.             logger.debug("Switching to RunAs Authentication: " + runAs.toString());   
  98.         }   
  99.   
  100.         SecurityContextHolder.getContext().setAuthentication(runAs);   
  101.   
  102.         // revert to token.Authenticated post-invocation   
  103.         return new InterceptorStatusToken(authenticated, true, attr, object);   
  104.     }   
  105. }  
    protected InterceptorStatusToken beforeInvocation(Object object) {
        Assert.notNull(object, "Object was null");

        if (!getSecureObjectClass().isAssignableFrom(object.getClass())) {
            throw new IllegalArgumentException("Security invocation attempted for object "
                + object.getClass().getName()
                + " but AbstractSecurityInterceptor only configured to support secure objects of type: "
                + getSecureObjectClass());
        }
        //这里读取配置FilterSecurityInterceptor的ObjectDefinitionSource属性，这些属性配置了资源的安全设置
        ConfigAttributeDefinition attr = this.obtainObjectDefinitionSource().getAttributes(object);

        if (attr == null) {
            if(rejectPublicInvocations) {
                throw new IllegalArgumentException(
                      "No public invocations are allowed via this AbstractSecurityInterceptor. "
                    + "This indicates a configuration error because the "
                    + "AbstractSecurityInterceptor.rejectPublicInvocations property is set to 'true'");
            }

            if (logger.isDebugEnabled()) {
                logger.debug("Public object - authentication not attempted");
            }

            publishEvent(new PublicInvocationEvent(object));

            return null; // no further work post-invocation
        }


        if (logger.isDebugEnabled()) {
            logger.debug("Secure object: " + object.toString() + "; ConfigAttributes: " + attr.toString());
        }
        //这里从SecurityContextHolder中去取Authentication对象，一般在登录时会放到SecurityContextHolder中去
        if (SecurityContextHolder.getContext().getAuthentication() == null) {
            credentialsNotFound(messages.getMessage("AbstractSecurityInterceptor.authenticationNotFound",
                    "An Authentication object was not found in the SecurityContext"), object, attr);
        }

        // 如果前面没有处理鉴权，这里需要对鉴权进行处理
        Authentication authenticated;

        if (!SecurityContextHolder.getContext().getAuthentication().isAuthenticated() || alwaysReauthenticate) {
            try {//调用配置好的AuthenticationManager处理鉴权，如果鉴权不成功，抛出异常结束处理
                authenticated = this.authenticationManager.authenticate(SecurityContextHolder.getContext()
                                                                                             .getAuthentication());
            } catch (AuthenticationException authenticationException) {
                throw authenticationException;
            }

            // We don't authenticated.setAuthentication(true), because each provider should do that
            if (logger.isDebugEnabled()) {
                logger.debug("Successfully Authenticated: " + authenticated.toString());
            }
            //这里把鉴权成功后得到的Authentication保存到SecurityContextHolder中供下次使用
            SecurityContextHolder.getContext().setAuthentication(authenticated);
        } else {//这里处理前面已经通过鉴权的请求，先从SecurityContextHolder中去取得Authentication
            authenticated = SecurityContextHolder.getContext().getAuthentication();

            if (logger.isDebugEnabled()) {
                logger.debug("Previously Authenticated: " + authenticated.toString());
            }
        }

        // 这是处理授权的过程
        try {
            //调用配置好的AccessDecisionManager来进行授权
            this.accessDecisionManager.decide(authenticated, object, attr);
        } catch (AccessDeniedException accessDeniedException) {
            //授权不成功向外发布事件
            AuthorizationFailureEvent event = new AuthorizationFailureEvent(object, attr, authenticated,
                    accessDeniedException);
            publishEvent(event);

            throw accessDeniedException;
        }

        if (logger.isDebugEnabled()) {
            logger.debug("Authorization successful");
        }

        AuthorizedEvent event = new AuthorizedEvent(object, attr, authenticated);
        publishEvent(event);

        // 这里构建一个RunAsManager来替代当前的Authentication对象，默认情况下使用的是NullRunAsManager会把SecurityContextHolder中的Authentication对象清空
        Authentication runAs = this.runAsManager.buildRunAs(authenticated, object, attr);

        if (runAs == null) {
            if (logger.isDebugEnabled()) {
                logger.debug("RunAsManager did not change Authentication object");
            }

            // no further work post-invocation
            return new InterceptorStatusToken(authenticated, false, attr, object);
        } else {
            if (logger.isDebugEnabled()) {
                logger.debug("Switching to RunAs Authentication: " + runAs.toString());
            }

            SecurityContextHolder.getContext().setAuthentication(runAs);

            // revert to token.Authenticated post-invocation
            return new InterceptorStatusToken(authenticated, true, attr, object);
        }
    }


到这里我们假设配置AffirmativeBased作为AccessDecisionManager：

Java代码 复制代码
  1. //这里定义了决策机制，需要全票才能通过   
  2.     public void decide(Authentication authentication, Object object, ConfigAttributeDefinition config)   
  3.         throws AccessDeniedException {   
  4.         //这里取得配置好的迭代器集合   
  5.         Iterator iter = this.getDecisionVoters().iterator();   
  6.         int deny = 0;   
  7.         //依次使用各个投票器进行投票，并对投票结果进行计票   
  8.         while (iter.hasNext()) {   
  9.             AccessDecisionVoter voter = (AccessDecisionVoter) iter.next();   
  10.             int result = voter.vote(authentication, object, config);   
  11.             //这是对投票结果进行处理，如果遇到其中一票通过，那就授权通过，如果是弃权或者反对，那就继续投票   
  12.             switch (result) {   
  13.             case AccessDecisionVoter.ACCESS_GRANTED:   
  14.                 return;   
  15.   
  16.             case AccessDecisionVoter.ACCESS_DENIED:   
  17.             //这里对反对票进行计数   
  18.                 deny++;   
  19.   
  20.                 break;   
  21.   
  22.             default:   
  23.                 break;   
  24.             }   
  25.         }   
  26.         //如果有反对票，抛出异常，整个授权不通过   
  27.         if (deny > 0) {   
  28.             throw new AccessDeniedException(messages.getMessage("AbstractAccessDecisionManager.accessDenied",   
  29.                     "Access is denied"));   
  30.         }   
  31.   
  32.         // 这里对弃权票进行处理，看看是全是弃权票的决定情况，默认是不通过，由allowIfAllAbstainDecisions变量控制   
  33.         checkAllowIfAllAbstainDecisions();   
  34.     }   
  35. 具体的投票由投票器进行，我们这里配置了RoleVoter来进行投票：   
  36.     public int vote(Authentication authentication, Object object, ConfigAttributeDefinition config) {   
  37.         int result = ACCESS_ABSTAIN;   
  38.         //这里取得资源的安全配置   
  39.         Iterator iter = config.getConfigAttributes();   
  40.   
  41.         while (iter.hasNext()) {   
  42.             ConfigAttribute attribute = (ConfigAttribute) iter.next();   
  43.                
  44.             if (this.supports(attribute)) {   
  45.                 result = ACCESS_DENIED;   
  46.   
  47.                 // 这里对资源配置的安全授权级别进行判断，也就是匹配ROLE为前缀的角色配置   
  48.                 // 遍历每个配置属性，如果其中一个匹配该主体持有的GrantedAuthority,则访问被允许。   
  49.                 for (int i = 0; i < authentication.getAuthorities().length; i++) {   
  50.                     if (attribute.getAttribute().equals(authentication.getAuthorities()[i].getAuthority())) {   
  51.                         return ACCESS_GRANTED;   
  52.                     }   
  53.                 }   
  54.             }   
  55.         }   
  56.   
  57.         return result;   
  58.     }  
//这里定义了决策机制，需要全票才能通过
    public void decide(Authentication authentication, Object object, ConfigAttributeDefinition config)
        throws AccessDeniedException {
        //这里取得配置好的迭代器集合
        Iterator iter = this.getDecisionVoters().iterator();
        int deny = 0;
        //依次使用各个投票器进行投票，并对投票结果进行计票
        while (iter.hasNext()) {
            AccessDecisionVoter voter = (AccessDecisionVoter) iter.next();
            int result = voter.vote(authentication, object, config);
            //这是对投票结果进行处理，如果遇到其中一票通过，那就授权通过，如果是弃权或者反对，那就继续投票
            switch (result) {
            case AccessDecisionVoter.ACCESS_GRANTED:
                return;

            case AccessDecisionVoter.ACCESS_DENIED:
            //这里对反对票进行计数
                deny++;

                break;

            default:
                break;
            }
        }
        //如果有反对票，抛出异常，整个授权不通过
        if (deny > 0) {
            throw new AccessDeniedException(messages.getMessage("AbstractAccessDecisionManager.accessDenied",
                    "Access is denied"));
        }

        // 这里对弃权票进行处理，看看是全是弃权票的决定情况，默认是不通过，由allowIfAllAbstainDecisions变量控制
        checkAllowIfAllAbstainDecisions();
    }
具体的投票由投票器进行，我们这里配置了RoleVoter来进行投票：
    public int vote(Authentication authentication, Object object, ConfigAttributeDefinition config) {
        int result = ACCESS_ABSTAIN;
        //这里取得资源的安全配置
        Iterator iter = config.getConfigAttributes();

        while (iter.hasNext()) {
            ConfigAttribute attribute = (ConfigAttribute) iter.next();
            
            if (this.supports(attribute)) {
                result = ACCESS_DENIED;

                // 这里对资源配置的安全授权级别进行判断，也就是匹配ROLE为前缀的角色配置
                // 遍历每个配置属性，如果其中一个匹配该主体持有的GrantedAuthority,则访问被允许。
                for (int i = 0; i < authentication.getAuthorities().length; i++) {
                    if (attribute.getAttribute().equals(authentication.getAuthorities()[i].getAuthority())) {
                        return ACCESS_GRANTED;
                    }
                }
            }
        }

        return result;
    }


上面就是对整个授权过程的一个分析，从FilterSecurityInterceptor拦截Http请求入手，然后读取对资源的安全配置以后，把这些信息交由AccessDecisionManager来进行决策，Spring为我们提供了若干决策器来使用，在决策器中我们可以配置投票器来完成投票，我们在上面具体分析了角色投票器的使用过程。

分享到：
| Spring源代码解析（九）：Spring Acegi框架 ...
评论
发表评论

您还没有登录,请您登录后再发表评论

相关推荐

    Spring源代码解析.rar

    Spring源代码解析1：IOC容器.doc Spring源代码解析2：IoC容器在Web容器中的启动.doc Spring源代码解析3：Spring JDBC .doc Spring源代码解析4：Spring MVC .doc ...Spring源代码解析10：Spring Acegi框架授权的实现.doc

    Spring 源代码解析

    Spring源代码解析1：IOC容器;Spring源代码解析2：IoC容器在Web容器中的启动;Spring源代码解析3：Spring JDBC ;...Spring源代码解析9：Spring Acegi框架鉴权的实现 Spring源代码解析10：Spring Acegi框架授权的实现

    Spring源代码解析(十)：Spring_Acegi框架授权的实现.doc

    在本文中，我们将深入探讨Spring_Acegi框架如何实现授权机制，特别是通过`FilterSecurityInterceptor`来处理HTTP请求的安全检查。 `FilterSecurityInterceptor`是Spring Security的核心组件之一，它负责拦截HTTP...

    Spring源代码解析

    Spring源代码解析(一）：IOC容器 Spring源代码解析(二)：IoC容器在Web容器中的启动 Spring源代码解析(三）：Spring JDBC Spring源代码解析(四）：Spring MVC ...Spring源代码解析（十）：Spring Acegi框架授权的实现

    Spring源代码解析(九)：Spring_Acegi框架鉴权的实现.doc

    在Spring框架中，Acegi（现在已经演变为Spring Security）是一个强大的安全管理组件，它提供了认证、授权等核心安全功能。在Spring_Acegi框架鉴权的实现中，我们主要关注的是如何处理用户的登录验证以及在验证成功或...

    Spring源码学习文档，绝对值得好好研究～～

    Spring源代码解析(一)Spring中的事务处理.doc Spring源代码解析(二)：ioc容器在Web容器中的启动.doc Spring源代码分析(三)：Spring JDBC.doc ...Spring源代码解析（十）：Spring Acegi框架授权的实现.doc

    spring源代码解析

    7. **Spring Acegi安全框架**："spring源代码解析（九）：Spring Acegi框架鉴权的实现.doc"和"Spring源代码解析（十）：Spring Acegi框架授权的实现.doc"介绍了Spring的安全组件，如何实现用户身份验证和权限控制。...

    Spring源代码解析9：SpringAcegi框架鉴权的实现.pdf

    在Spring源代码解析9中，我们关注的是如何实现这个过程，特别是涉及用户账户状态检查和密码验证的部分。这部分代码展示了Spring Acegi如何与数据库交互来获取并验证用户信息。 首先，`Assert.notNull(user, ...

    spring源代码解析十.pdf

    这篇源代码解析主要关注Spring Acegi中AuthenticationProcessingFilter的实现，它是Web页面验证的核心部分。AuthenticationProcessingFilter是Servlet Filter接口的实现，主要用于在请求到达目标资源之前进行身份...

    实战Acegi：使用Acegi作为基于Spring框架的WEB应用的安全框架

    Acegi是一个专门为SpringFramework应用提供安全机制的开放源代码项目，全称为Acegi Security System for Spring，当前版本为 0.8.3。它使用了Spring的方式提供了安全和认证安全服务，包括使用Bean Context，拦截器和...

    Acegi-spring安全框架

    Acegi框架的这种设计使安全控制变得简单且灵活，能够在不侵入业务代码的情况下实现安全策略。然而，尽管Acegi非常强大，它也有不足之处，如学习曲线较陡峭，配置复杂，对于初学者来说可能较为困难。此外，随着Spring...

    实战Acegi：使用Acegi作为基于Spring框架的WEB应

    总结来说，本实战教程将引导你深入了解如何利用Acegi Security为Spring框架的Web应用添加安全防护，包括用户认证、授权、会话管理等多个方面。虽然Acegi Security已被Spring Security取代，但其核心理念和实践方法...

    Spring技术内幕：深入解析Spring架构与设计原理

    《Spring技术内幕：深入解析Spring架构与设计原理(第2版)》从源代码的角度对Spring的内核和各个主要功能模块的架构、设计和实现原理进行了深入剖析。你不仅能从本书中参透Spring框架的出色架构和设计思想，还能从...

    Spring技术内幕：深入解析 Spring架构与设计原理.pdf

    本书从源代码的角度对Spring的内核和各个主要功能模块的架构、设计和实现原理进行了深入剖析。你不仅能从本书中参透Spring框架的优秀架构和设计思想，还能从Spring优雅的实现源码中一窥Java语言的精髓。本书在开篇...

    Spring技术内幕：深入解析Spring架构与设计原理(第1部分)

    　揭开Spring源代码的神秘面纱，展示系统阅读开源软件源代码的方法和秘诀。 　如果你正在思考下面这些问题，也许《Spring技术内幕：深入解析Spring架构与设计原理》就是你想要的！ 　掌握Spring的架构原理与设计思想...

    Spring技术内幕：深入解析Spring架构与设计原理(第2部分)

    　揭开Spring源代码的神秘面纱，展示系统阅读开源软件源代码的方法和秘诀。 　如果你正在思考下面这些问题，也许《Spring技术内幕：深入解析Spring架构与设计原理》就是你想要的！ 　掌握Spring的架构原理与设计思想...

    spring的acegi应用

    标题“spring的acegi应用”指的是在Spring框架中使用Acegi安全模块进行权限管理和用户认证的一个主题。Acegi是Spring早期的一个安全组件，后来发展成为Spring Security，是Spring生态系统中的重要部分，用于提供全面...

    Spring技术内幕：深入解析Spring架构与设计原理（第2版）

    Spring技术内幕：深入解析Spring架构与设计原理（第2版）》是国内唯一一本系统分析Spring源代码的著作，也是Spring领域的问鼎之作，由业界拥有10余年开发经验的资深Java专家亲自执笔，Java开发者社区和Spring开发者...

Magicbox
Global site tag (gtag.js) - Google Analytics