spring security使用分類：
使用spring security，總共有四種用法，從簡到深爲：
1、不用數據庫，全部數據寫在配置文件，這個也是官方文檔裏面的demo；
2、使用數據庫，根據spring security默認實現代碼設計數據庫，也就是說數據庫已經固定了，這種方法不靈活，而且那個數據庫設計得很簡陋，實用性差；
3、spring security和Acegi不同，它不能修改默認filter了，但支持插入filter，所以根據這個，我們可以插入自己的filter來靈活使用；
4、暴力手段，修改源碼，前面說的修改默認filter只是修改配置文件以替換filter而已，這種是直接改了裏面的源碼，但是這種不符合OO設計原則，而且不實際，不可用。
spring security的簡單原理：
使用衆多的攔截器對url攔截，以此來管理權限。但是這麼多攔截器，這裏不可能對其一一來講，主要講裏面核心流程的兩個。
首先，權限管理離不開登陸驗證的，所以登陸驗證攔截器AuthenticationProcessingFilter要講；
其次就是對訪問的資源管理，所以資源管理攔截器AbstractSecurityInterceptor要講；
但攔截器裏面的實現需要一些組件來實現，所以就有了AuthenticationManager、accessDecisionManager等組件來支撐。
現在先大概過一遍整個流程，用戶登陸，會被AuthenticationProcessingFilter攔截，調用AuthenticationManager的實現，而且AuthenticationManager會調用ProviderManager來獲取用戶驗證信息（不同的Provider調用的服務不同，因爲這些信息可以是在數據庫上，可以是在LDAP服務器上，可以是xml配置文件上等），如果驗證通過後會將用戶的權限信息封裝一個User放到spring的全局緩存SecurityContextHolder中，以備後面訪問資源時使用。訪問資源（即授權管理），訪問url時，會通過AbstractSecurityInterceptor攔截器攔截，其中會調用FilterInvocationSecurityMetadataSource的方法來獲取被攔截url所需的全部權限，在調用授權管理器AccessDecisionManager，這個授權管理器會通過spring的全局緩存SecurityContextHolder獲取用戶的權限信息，還會獲取被攔截的url和被攔截url所需的全部權限，然後根據所配的策略（有：一票決定，一票否定，少數服從多數等），如果權限足夠，則返回，權限不夠則報錯並調用權限不足頁面。