【发布时间】：2016-01-21 17:55:46
【问题描述】：
我是 Spring Security 的新手，我对教程中找到的配置有一些疑问。
这是spring-security.xml文件，用于将Spring Security配置到项目中：
<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns:security="http://www.springframework.org/schema/security"
xsi:schemaLocation="http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-4.0.xsd
http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">
<security:http>
<security:intercept-url pattern="/springLogin" access="permitAll"/>
<security:intercept-url pattern="/doSpringLogin" access="permitAll"/>
<security:intercept-url pattern="/myprofile" access="hasRole('ROLE_USER')"/>
<security:intercept-url pattern="/springHome" access="hasRole('ROLE_USER')"/>
<security:intercept-url pattern="/products" access="hasRole('ROLE_USER')"/>
<security:intercept-url pattern="/springLogout" access="permitAll"/>
<security:intercept-url pattern="/springLogin?error=true" access="permitAll"/>
<security:form-login login-page="/springLogin" login-processing-url="/doSpringLogin"
default-target-url="/springHome" authentication-failure-url="/springLogin?error=true"
username-parameter="username" password-parameter="password"
/>
<security:csrf disabled="true"/>
<security:logout logout-url="/springLogout" logout-success-url="/springLogin"/>
</security:http>
<bean id="userDetailsServiceImpl" class="com.demo.security.UserDetailsServiceImpl"></bean>
<bean id="authenticationProvider" class="org.springframework.security.authentication.dao.DaoAuthenticationProvider">
<property name="userDetailsService" ref="userDetailsServiceImpl"></property>
</bean>
<bean id="authenticationManager" class="org.springframework.security.authentication.ProviderManager">
<constructor-arg name="providers">
<list>
<ref bean="authenticationProvider"/>
</list>
</constructor-arg>
</bean>
<security:authentication-manager>
<security:authentication-provider user-service-ref="userDetailsServiceImpl">
<security:password-encoder hash="plaintext"></security:password-encoder>
</security:authentication-provider>
</security:authentication-manager>
</beans>
我把它分成了一些部分。第一个是标签内容。
它包含以下内容：
<security:intercept-url pattern="/springLogin" access="permitAll"/>
我认为这意味着与 /springLogin 资源相关的页面可供所有人访问，同时
<security:intercept-url pattern="/myprofile" access="hasRole('ROLE_USER')"/>
表示与 /myprofile 资源相关的资源只能由设置了 ROLE_USER 角色的登录用户（主体）访问。
这个推理正确吗？
那么在之前的配置文件中有：
1) authenticationManager bean 的声明：
<bean id="authenticationManager" class="org.springframework.security.authentication.ProviderManager">
<constructor-arg name="providers">
<list>
<ref bean="authenticationProvider"/>
</list>
</constructor-arg>
</bean>
我认为 Spring 使用它来使用 Principal 对象（例如 Web 应用程序的所有用户）和 填充 SecurityContext授权（具体的委托人可以做什么）。
这个推理正确吗？
此对象将一个 autentication provider bean 列表作为构造函数 arg，这些 bean 必须提供 Principal 信息（例如，与特定 Principal 关联的角色)
在这种情况下，提供了一个 DaoAuthenticationProvider 类的实现，该类采用具有 name="userDetailsService" 作为属性的 bean，这个：
<bean id="userDetailsServiceImpl" class="com.demo.security.UserDetailsServiceImpl"></bean>
那是 UserDetailsServiceImpl 类的一个实例，这个：
public class UserDetailsServiceImpl implements UserDetailsService {
@Override
public UserDetails loadUserByUsername(String username)
throws UsernameNotFoundException {
System.out.println(username);
User user = RegisteryDAO.getUserDAO().getUserByUsername(username);
if(user == null){
return null;
}
List<GrantedAuthority> authorities = new ArrayList<GrantedAuthority>();
authorities.add(new SimpleGrantedAuthority(user.getRole()));
UserDetails userDetails = new org.springframework.security.core.userdetails.
User(user.getUsername(), user.getPassword(), true, true, true, true, authorities);
return userDetails;
}
}
那么到底发生了什么？
使用调试器在我看来，当用户尝试访问特定页面时，此 loadUserByUsername() 返回与已登录用户相关的 UserDetails 对象，其中包含List 表示与特定登录用户关联的角色（例如之前的 ROLE_USER）
那我认为Spring自动使用了
<security:intercept-url pattern="/myprofile" access="hasRole('ROLE_USER')"/>
检查用户是否已将 propper 角色设置到上一个 List 列表中。
如果它已经将请求转发到处理此 Http 请求的控制器方法，否则避免此 HttpRequest 到达此控制器方法并显示一个说用户无法访问此资源的页面。
【问题讨论】：
标签： java spring spring-mvc jakarta-ee spring-security