spring-scurity

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns:aop="http://www.springframework.org/schema/aop"
xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-2.0.xsd
            http://www.springframework.org/schema/aop http://www.springframework.org/schema/aop/spring-aop-2.0.xsd">

<!-- ======================== FILTER CHAIN =======================
FilterChainProxy will transfer these filters by order to make them use the Ioc of spring.
CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON define that convert url to lowrcase befor comparing
PATTERN_TYPE_APACHE_ANT define that use the model of apache ant.
-->

<!-- 目标委托的bean 下面的value就是多个过滤器的组合成过滤链 这个bean是web.xml的
filterChainProx的委托目标。
注意顺序.
-->
<bean id="filterChainProxy"
   class="org.acegisecurity.util.FilterChainProxy">
   <property name="filterInvocationDefinitionSource">
    <value>
     CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
     PATTERN_TYPE_APACHE_ANT
     /**=httpSessionContextIntegrationFilter,logoutFilter,authenticationProcessingFilter,securityContextHolderAwareRequestFilter,rememberMeProcessingFilter,anonymousProcessingFilter,exceptionTranslationFilter,filterInvocationInterceptor
    </value>
    <!-- Put channelProcessingFilter before securityContextHolderAwareRequestFilter to turn on SSL switching -->
    <!-- It's off by default b/c Canoo WebTest doesn't support SSL out-of-the-box -->
   </property>
</bean>
<!-- 过滤器链中的过滤器 通过HttpSession转存SecurityContext的过滤器.如果用户还为通过认证，httpSessionContextIntegrationFilter
在HttpSession中找不到对应的SecurityContext这时authenticationProcessingFilter将启动正常的认证流程，反之，如果通过认证，
SecurityContext将直接从HttpSession中取出。-->
<bean id="httpSessionContextIntegrationFilter"
   class="org.acegisecurity.context.HttpSessionContextIntegrationFilter" />

<!-- SecurityContext 保存在HttpSession中，当用户退出系统的时候必须清楚，否则其会一直保存于HttpSession中，直到session过期才被清除
通常推出系统会记录日志，将登录信息保存到cookie里面等。LogoutFilter接口 -->
<bean id="logoutFilter"
   class="org.acegisecurity.ui.logout.LogoutFilter">
   <constructor-arg value="/login.jsp" /><!-- 退出系统时候后转向的URL-->
   <!-- URL redirected to after logout -->
   <constructor-arg>
    <list>
   
     <ref bean="rememberMeServices" />
   
     <!-- SecurityContextLogoutHandler是LogoutFilter的一个实现类，是将SecurityContext从HttpSession中删除
     另一个是：TokenBasedRememberMeServices，是将Authentication中的用户名和密码保存到客户端的cookie里面，以便下次
     用户访问的时候直接通过cookie里取 -->
     <bean class="org.acegisecurity.ui.logout.SecurityContextLogoutHandler" />
    </list>
   </constructor-arg>
   <property name="filterProcessesUrl" value="/logout.jsp" /><!-- 指定推出系统的URL请求 -->
</bean>
<!-- 使用认证处理过滤器处理匹配的url. -->
<bean id="authenticationProcessingFilter"
   class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilter">
   <!--其实AuthenticationProcessingFilter只是从页面获取用户信息，根据认证结果完成页面转向，处理认证的过程是需要authenticationManager
   在后台完成,authenticationManager是认证管理器 -->
   <property name="authenticationManager" ref="authenticationManager" />
 
   <!-- 认证失败时候转向的页面 -->
   <property name="authenticationFailureUrl" value="/login.jsp?error=true" />
 
   <property name="defaultTargetUrl" value="/" />
 
   <!-- 与login.jsp中form的action是一样的，当该表单提交后，authenticationProcessingFilter将从请求中提取出j_username,j_paassword的值
   两者组成了代表请求认证的用户信息，acegi将这个信息构造成Authentication实例，并且封装成SecurityContext放入到SecurityContextHolder中
   然后启动用户身份认证的流程,如果失败，会/login.jsp?error=true，成功的话.... -->
   <property name="filterProcessesUrl" value="/j_security_check" />
 
   <!-- 添加rememberMe，在处理用户登录页面提交的用户认证信息时候，将用户名和密码通过response的方式记录到客户端cookie中
      当authenticationProcessingFilter 完成用户认证的时候，如果认证成功，调用 rememberMeServices的loginSuccess()方法
      该方法将用户名和密码按以某种方式进行编码，然后再写入到cookie里面 -->
   <property name="rememberMeServices" ref="rememberMeServices" />
</bean>

<bean id="securityContextHolderAwareRequestFilter"
   class="org.acegisecurity.wrapper.SecurityContextHolderAwareRequestFilter" />

<!-- 自动登录功能，如果保存到cookie里面5天内，再次自动登录。必须有一个过滤器能够自动调用RememberMeServices#autoLogin()方法
    这个需要通过rememberMeProcessingFilter过滤器来完成。 -->
<bean id="rememberMeProcessingFilter" class="org.acegisecurity.ui.rememberme.RememberMeProcessingFilter">
   <property name="authenticationManager" ref="authenticationManager" />
   <property name="rememberMeServices" ref="rememberMeServices" />
</bean>

<!-- 匿名用户处理过滤器 添加anonymousProcessingFilter到过滤器链中AnonymousProcessingFilter和AnonymousAuthenticationProvider
都拥有一个key属性，key是建立两者联系的桥梁，要想等这样，后者就可以通过key访问到前者创建的AnonymousAuthenticationToken -->
<bean id="anonymousProcessingFilter"
   class="org.acegisecurity.providers.anonymous.AnonymousProcessingFilter">
   <property name="key" value="anonymous" />
   <!--匿名用户的属性，其中第一项anonymous表示用户密码，第二项ROLE_ANONYMOUS表示对应权限，以逗号分开可以添加多个权限 -->
   <property name="userAttribute" value="anonymous,ROLE_ANONYMOUS" />
</bean>

<!-- 异常转换过滤器: 能够扑捉Acegi抛出的权限访问异常，并导向合适相应页面
注意：ExceptionTranslationFilter必须位于FilterSecurityInterceptor之前
-->
<bean id="exceptionTranslationFilter"
   class="org.acegisecurity.ui.ExceptionTranslationFilter">
   <!-- 通过AuthenticationProcessingFilterEntryPoint定义用户登录页面的地址，在抛出AuthenticationException异常时，
       请求到login.jsp页面 -->
   <property name="authenticationEntryPoint">
    <bean class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilterEntryPoint">
     <property name="loginFormUrl" value="/login.jsp" />
     <property name="forceHttps" value="false" />
    </bean>
   </property>
</bean>

<!-- start:overrided by bguo since in our project, the authority data is from DB -->
<!--
   <bean id="filterInvocationInterceptor" class="org.acegisecurity.intercept.web.FilterSecurityInterceptor">
   <property name="authenticationManager" ref="authenticationManager"/>
   <property name="accessDecisionManager" ref="accessDecisionManager"/>
   <property name="objectDefinitionSource" >
   <value>
   PATTERN_TYPE_APACHE_ANT
   /clickstreams.jsp*=admin
   /flushCache.*=admin
   /mainMenu.action*=ROLE_ANONYMOUS,admin,user
   /passwordHint.action*=ROLE_ANONYMOUS,admin,user
   /reload.*=admin
   /signup.action*=ROLE_ANONYMOUS,admin,user
   /users.action*=admin
   /**/*.action*=admin,user
   </value>
   </property>
   </bean>
-->

<!-- URL 资源访问拦截器,添加到拦截器链中，改拦截器将对所有URL请求进行处理，拦截流程如下：
1:判断用户是否已经通过认证，如NO，调用身份认证管理器进行处理，这意味着请求将重定向到登录页面
2:如果通过认证，调用访问决策管理器判断用户是否有权限访问目标 URL资源。
3:访问管理器将组织投票者进行投票，并根据投票结果给出是否有权限访问。
4：如果无权限，则抛出Expception，否则开发URL访问
-->
<bean id="filterInvocationInterceptor" class="org.acegisecurity.intercept.web.FilterSecurityInterceptor">
   <!-- 有上面注释可以得出：FilterSecurityInterceptor要能正常工作，必须得到身份认证管理器和访问决策管理器两者配合 -->
   <property name="authenticationManager" ref="authenticationManager" />
   <property name="accessDecisionManager" ref="accessDecisionManager" />
 
   <!-- Authentication#getAuthorities()方法返回的GrantedAuthority[]代表用户的权限信息，但在判断用户是否拥有访问目标URL
   权限时候，必须将URL资源事先转换为投票者可以识别的权限信息。改项目通过自己的方法 找出权限信息 -->
   <property name="objectDefinitionSource" ref="gbUrlFilterDefinitionSource">
   </property>
</bean>
<!-- 上面调用该方法 -->
<bean id="gbUrlFilterDefinitionSource"
   class="com.abeam.nasa.service.impl.common.GbUrlDefinitionSource">
   <property name="functionDao" ref="functionDao" />
   <property name="functionsByUserCache" ref="functionsUserCache" />
   <property name="authorityFunctionCache" ref="authorityFunctionCache" />
</bean>

<!-- end:overrided by bguo since in our project, the authority data is from DB -->

<!-- HTTP请求访问决策管理器 -->
<bean id="accessDecisionManager"
   class="org.acegisecurity.vote.AffirmativeBased">
 
   <!-- 是否所有投票者弃权 即 为同意 -->
   <property name="allowIfAllAbstainDecisions" value="false" />
 
   <!-- 投票者列表 -->
   <property name="decisionVoters">
    <list>
     <!-- 投票者 -->
     <bean class="org.acegisecurity.vote.RoleVoter">
      <!-- 对应的权限前缀(只对前缀匹配的权限投票) -->
      <property name="rolePrefix" value="" />
     </bean>
    </list>
   </property>
</bean>

<!-- RememberMeServices接口实现类TokenBasedRememberMeServices(基于凭证 即：用户名和密码 的remember—me实现类。)
      改实现类和logoutFilter的那个TokenBasedRememberMeServices名字一样，但意思相同 可能都实现了。
      本项目自己实现了RememberMeServices 并且继承了TokenBasedRememberMeServices实现类。扩展了
      -->
<bean id="rememberMeServices"
   class="com.abeam.nasa.security.NasaTokenBasedRememberMeServices">
   <property name="userDetailsService" ref="userDao" /> <!-- 要引用的Dao -->
   <property name="key" value="appfuseRocks" /><!-- Cookie 中的键值，通过key值，可以有效防止整个加密串被黑客改动，因为key值在服务器端 -->
   <property name="parameter" value="rememberMe" />
   <!-- 也可以添加cookie的有效时间,单位是秒。
   <property name="tokenValiditySeconds" value="432000"/>
   -->
</bean>

<!--authenticationManager有两个实现类：MockAuthenticationManager和ProviderManager
MockAuthenticationManager用于开发测试环境，它将所有待认证用户标志为有效用户
ProviderManager：将用户的省份认证工作委托给多个提供者来完成。本项目用地是ProviderManager -->
<bean id="authenticationManager" class="org.acegisecurity.providers.ProviderManager">
   <property name="providers">
    <list>
    <!-- 这里只是加上了3个认证提供者，还有一些其他的.... -->
     <!-- 使用基于Dao的认证,转下面的引用 -->
     <ref local="daoAuthenticationProvider" />
   
     <!-- 需要将anonymousAuthenticationProvider添加到authenticationManager的认证提供者列表中，以便
        AnonymousAuthenticationToken能够通过认证管理器的认证 -->
     <ref local="anonymousAuthenticationProvider" />
   
     <ref local="rememberMeAuthenticationProvider" />
    </list>
   </property>
</bean>
<!-- DaoAuthenticationProvider 首先从SecurityContextHolder的Authentication中得到待认证的用户名，并根据该用户名获取保存在
数据库或其他媒介中真正的系统用户UserDetail对象，紧接着比较Authentication和UserDetails的匹配关系(如看密码是否相同,校验码等)，如不匹配失败
本项目用到了自己的认证方式，NasaDaoAuthenticationProvider是自己写的实现UserDetailsServics.没有用到acegi里面的JdbcDaoImpl
和InMemoryDaoImpl。如下：
<bean id="daoAuthenticationProvider"
   class="org.acegisecurity.providers.dao.DaoAuthenticationProvider">
   <property name="userDetailsService" ref="userDetailsService" />
   <property name="passwordEncoder" ref="passwordEncoder" />
</bean>
1：这个方式是基于数据库存储的用户信息获取，JdbcDaoImpl是acegi里面UserDetailsServics的实现类。
<bean id="userDetailsService"
   class="org.acegisecurity.userdetails.jdbc.JdbcDaoImpl">
   <property name="dataSource" ref="dataSource" /> //数据源.
   <property name="usersByUsernameQuery">
    <value>
     SELECT username,password,1 FROM t_user WHERE status='1'
     AND username = ?            //这里的value就是根据用户名来查的值的sql
    </value>
   </property>
   <property name="authoritiesByUsernameQuery">
    <value>
     SELECT u.username,p.priv_name FROM t_user u,t_user_priv
     p WHERE u.user_id =p.user_id AND u.username = ?   //根据用户名来查询用户权限记录的sql
    </value>
   </property>
</bean>
2:这个方式是基于缓存中的用户信息获取,InMemoryDaoImpl是acegi里面对UserDetailsServics接口的实现类。从内存中获取信息
<bean id="userDetailsService"
   class="org.acegisecurity.userdetails.memory.InMemoryDaoImpl">

<property name="userMap" > //user权限集合
<value> //用户信息
     join=join,PRIV_COMMON,PRIV_1
     tom=tom,PRIV_COMMON,PRIV_1,PRIV_2
     peter=peter,disable,PRIV_COMMON,PRIV_1
   </value>
</property>

或者如下写入properties
   <property name="userProperties" > //user权限集合
<bean class="org.springframework.beans.factory.config.PropertiesFactoryBean">
   <property name="location" value="/WEB-INF/users.properties"/>
</bean>
</property>

</bean>
   -->
<bean id="daoAuthenticationProvider"
   class="com.abeam.nasa.security.NasaDaoAuthenticationProvider">
   <property name="userDetailsService" ref="userDao" />
   <!-- 加密方式，将页面传来的明文加密然后对比数据库中的 -->
   <property name="passwordEncoder" ref="passwordEncoder" />
</bean>
<!-- replaced by bguo for LDAP configure start
<bean id="daoAuthenticationProvider"
   class="org.acegisecurity.providers.dao.DaoAuthenticationProvider">
   <property name="userDetailsService" ref="userDao" />
   <property name="passwordEncoder" ref="passwordEncoder" />
</bean>
end -->

    <!-- 该key与anonymousProcessingFilter的key值要相等-->
<bean id="anonymousAuthenticationProvider"
   class="org.acegisecurity.providers.anonymous.AnonymousAuthenticationProvider">
   <property name="key" value="anonymous" />
</bean>

<bean id="rememberMeAuthenticationProvider"
   class="org.acegisecurity.providers.rememberme.RememberMeAuthenticationProvider">
   <property name="key" value="appfuseRocks" />
</bean>

<!-- This bean definition must be available to ApplicationContext.getBean() so StartupListener
   can look for it and detect if password encryption is turned on or not -->
<bean id="passwordEncoder"
   class="org.acegisecurity.providers.encoding.ShaPasswordEncoder" />

<!-- This bean is optional; it isn't used by any other bean as it only listens and logs -->
<bean id="loggerListener"
   class="org.acegisecurity.event.authentication.LoggerListener" />

<!-- Apply method-level interceptor to userManager bean -->
<!-- start:removed by bguo since in our project, the method is not the control object -->
<!--
   <aop:config>
   <aop:advisor id="managerSecurity" advice-ref="methodSecurityInterceptor" pointcut="execution(* com.abeam.nasa.service.UserManager.*(..))"/>
   </aop:config>
 
   <bean id="methodSecurityInterceptor" class="org.acegisecurity.intercept.method.aopalliance.MethodSecurityInterceptor">
   <property name="authenticationManager" ref="authenticationManager"/>
   <property name="accessDecisionManager" ref="accessDecisionManager"/>
   <property name="objectDefinitionSource">
   <value>
   com.abeam.nasa.service.UserManager.getUsers=admin
   com.abeam.nasa.service.UserManager.removeUser=admin
   </value>
   </property>
   </bean>
-->
<!-- end:removed by bguo since in our project, the method is not the control object -->

<!-- SSL Switching: to use this, configure it in the filterChainProxy bean -->
<!-- 安全通道过滤器：通过channelProcessiongFilter 对所有URL资源访问进行过滤，当发现访问目标URL所使用的传输协议不符合要求时候，就执行
切换传输协议的操作，该过滤器必须要在过滤器链的最前面。 -->
<bean id="channelProcessingFilter"
   class="org.acegisecurity.securechannel.ChannelProcessingFilter">
   <property name="channelDecisionManager"
    ref="channelDecisionManager" />
   <property name="filterInvocationDefinitionSource">
    <value>
     PATTERN_TYPE_APACHE_ANT
     /admin/**=REQUIRES_SECURE_CHANNEL
     /login*=REQUIRES_SECURE_CHANNEL
     /j_security_check*=REQUIRES_SECURE_CHANNEL
     /editProfile.action*=REQUIRES_SECURE_CHANNEL
     /signup.action*=REQUIRES_SECURE_CHANNEL
     /saveUser.action*=REQUIRES_SECURE_CHANNEL
     /**=REQUIRES_INSECURE_CHANNEL
    </value>
   </property>
</bean>
<!-- ChannelProcessingFilter 过滤器在拦截URL访问的请求后，根据ChannelDesisionManager判断目标URL需要使用的传输协议和当前使用的
协议是否一致，如果不一致，ChannelDecisionManager通过channelProecssors属性定义的通道处理器进行切换 -->
<bean id="channelDecisionManager"
   class="org.acegisecurity.securechannel.ChannelDecisionManagerImpl">
   <property name="channelProcessors">
    <list>
     <bean
      class="org.acegisecurity.securechannel.SecureChannelProcessor" /><!-- 安全通道处理器 -->
     <bean
      class="org.acegisecurity.securechannel.InsecureChannelProcessor" /><!-- 非安全通道处理器 -->
    </list>
   </property>
</bean>
</beans>