|
2、Acegi安全系统数据库设计
在Acegi框架中支持多种安全信息的持久化方式，可以在配置文件中配置或存放在关系数据库。由于在实际应用中，需求是经常发生变化的。所以，在配置文件中配置是满足不了实际应用需求的。然而，Acegi本身对权限表的设计非常简单，users表{username，password，enabled} 和authorities表{username，authority}，这样简单的设计肯定无法适用复杂的权限需求。为了解决权限管理的复杂性，在这里引入了role（角色）的概念，使得用户和权限分离，一个用户拥有多个角色，一个角色拥有多个相应的权限，这样就更灵活地支持安全策略。
同时，为了更好地配合Acegi安全框架，还引入resource（资源）的概念，资源可分为URL和FUNCTION（方法）两种，一个权限可以对应多个资源。具体的数据库设计见图2。
 图1 安全管理对象，拦截器和安全管理组件交互图  图2 Acegi安全控制系统数据库设计 3、认证管理器，授权管理器的配置
实现系统的安全控制，首先需要对系统的安全管理器和授权管理器进行配置，系统进行认证和授权需要获取安全信息，Acegi本身提供了对认证信息的获取机制，在实现认证与授权过程中，系统将主动根据配制信息和相应的信息解释安全信息的读取。图3给出了一个将用户安全信息存储在数据库中的认证管理器的配置示意图。
对应于图示的XML配置文件的代码如下：
/* 配置数据库datasource 和Acegi 的 jdbcDao */
＜bean id=”dataSource” class=”org.springframework.jdbc.datasource.DriverManagerDataSource”＞
＜property name=”driverClassName”＞
＜value＞${jdbc.driverClassName}＜/value＞
＜/property＞
＜property name=”url”＞
＜value＞${jdbc.url}＜/value＞
＜/property＞ |
 图3 认证管理器配制示意图
＜property name=”username”＞
＜value＞${jdbc.username}＜/value＞
＜/property＞
＜property name=”password”＞
＜value＞${jdbc.password}＜/value＞
＜/property＞
＜/bean＞
＜bean id=”jdbcDaoImpl” class=”org.acegisecurity. roviders. dao.jdbc.JdbcDaoImpl”＞
＜property name=”dataSource”＞
＜ref bean=”dataSource”/＞
＜/property＞
＜/bean＞
/*配置用户信息的加密算法*/
＜bean id=”passwordEncoder”
Class=”org.acegisecurity.providers.encoding.Md5passwordEncoder”/＞
/*配置缓存有效时间*/
＜bean id=”userCache” class=”org.acegiSecurity. providers. dao.cache.EhCacheBasedUserCache”＞
…//这里对缓存有效时间进行设置
＜/bean＞
/*配置daoAuthenticationProvider*/
＜bean id=”daoAuthenticationProvider”
class=”org.acegisecurity.providers.dao.DaoAuthenticationProvider”＞
＜property name=”authenticationDao”＞
＜ref local=”JdbcDaoImpl”/＞
＜/property＞
＜property name=”passwordEncoder”＞
＜ref local=” passwordEncoder”/＞
＜/property＞
＜property name=”userCache”＞
＜ref local=” userCache”/＞
＜/property＞
＜/bean＞
/*配置认证管理器*/
＜bean id=”authenticationManager” class=”org.acegisecurity. providers.ProviderManager”＞
＜property name=”providers”＞
＜list＞
＜ref local=”daoAuthenticationProvider”/＞
＜/list＞
＜/property＞
＜/bean＞ |
授权管理器的配置方法与认证管理器的配置基本类似，这里不再讨论。
4、安全请求拦截器的配置
以上配置完成后，就需要配置安全拦截器。不同的安全管理对象需要使用不同的安全拦截器。对于方法级的安全认证需要使用的拦截器为MethodSecurityInterceptor，而应用于URL资源的安全拦截器为FilterSecurityInterceptor 。其中，MethodSecurityInterceptor拦截器是借助于Spring Aop实现的，而FilterSecurityInterceptor拦截器是借助于Servlet Filter 实现的。本文以URL资源请求的安全拦截器为例说明配置情况。
|