spring security2配置文件学习小结

[b]1.applicationContext-security的配置[/b]
使用命名空间,主要分为3个部分:
a. <http>注册过滤器链,配置表单登陆,注销等
b. 注册自定义的安全认证管理器
c. 注册自定义的授权过滤器

[b]2.<http>[/b]
a. <http>元素会创建一个FilterChainProxy和filter使用的bean。以前常常出现的因为filter顺序不正确产生的问题不会再出现了，现在这些过滤器的位置都是预定义好的。
b. auto-config = true(默认为false)
==
<http>
<intercept-url pattern="/**" access="ROLE_USER" />
<form-login />
<anonymous />
<http-basic />
<logout />
<remember-me />
</http>
c. access-decision-manager-ref属性可以自定义的访问策略管理器。当系统角色名的前缀不是默认的ROLE_时，需要自定义访问策略管理器。

[b]3.安全认证[/b]
a. <authentication-manager alias="XX"/>为AuthenticationManager注册一个别名，然后你可以application context的其他地方使用这个名字
b. <authentication-provider>元素会创建一个DaoAuthenticationProvider bean;一个ProviderManager bean通常是由命名空间过程系统创建的， DaoAuthenticationProvider自动注册到它上面
c. <user-service>元素会创建一个InMemoryDaoImpl。
d. 使用<custom-authentication-provider>元素可以为ProviderManager注册另外的AuthenticationProvider bean

[b]4.http/intercept-url[/b]
a. <intercept-url pattern="/XX" access="ROLE_XXX" />定义了对某个资源的访问需要某个角色的权限
b. 对于在http/intercept-url中没有进行定义的URL，将会默认使用系统内置的过滤器链进行权限认证(就是说无须认证和授权就能访问了);
c. 若使用了pattern="/*" 则一般情况下要配置匿名认证过滤器--登陆页面也被保护的话则会陷入死循环中.
d. 由于一般情况下资源对应的权限都配置在数据库的资源权限表中,所以这个元素一般情况下没用
e. 如果数据库中的资源权限表中不存在该资源记录,那么匿名认证过滤器实际上时不需要的.

[b]5.<security:custom-filter>[/b]
a. <security:custom-filter position="XXX"/>会使用自定义的过滤器替换(position)某个过滤器,但是有3个不能替换:HttpSessionContextIntegrationFilter, ExceptionTranslationFilter, FilterSecurityInterceptor.但是可以使用before或after
b. 除了使用position外，还可以使用before，after加入自定义的过滤器，还有的关键字包括first，last代表这个过滤器链的头和尾

[b]6.数据库的资源权限表中应该只保存.action的记录，把所有受保护的jsp页面放到/WEB-INF文件夹下，外部的用户就无法访问了，/WEB-INF下的JSP只能通过Servlet的转发访问。[/b]