appfuse 1.9.4 学习心得 II

Wed, 07 Mar 2007 15:46:00 GMT

�q�次详细地说明一下Appfuse的认证过�E�：
1. 在Web.xml中定义了FilterChainProxy�Q?br />2. 在Security.xml中对FilterChain�q�行了详�l�定义�?br />3. 其中AuthenticationManager的Providers包含了DaoAuthenticationProvider�Q�而此Provider的UserDetailsService引用了userDao�?br />4. 在applicationContext-hibernate.xml中定义了userDao�Q�是org.appfuse.dao.hibernate.UserDaoHibernate�?
5. 而UserDaoHibernate实现了UserDetailsService接口�Q�主要是实现了loadUserByUsername(String)�Ҏ��Q�其中参数是String�c�d��的用户名�Q�而返回一个UserDetails�c�d��的对象�?br />6. 在LoadUserByUsername�Ҏ��中，使用getHibernateTemplate().find来获得了一个org.appfuse.model.User�c�d��的List�Q�其中User�c�d��实现了UserDetails�?img src ="http://m.tkk7.com/usherlight/aggbug/102492.html" width = "1" height = "1" />

云自无心水自�?/a> 2007-03-07 23:46 发表评论

Acegi 开源安全认�?解决�Ҏ�� 学习研究 I

Wed, 07 Mar 2007 05:00:00 GMT

    Acegi提供了一个优�U�的基于J2EE企业�U�应用的安全认证机制。尤其是对于Spring框架的支持，在J2EE的企业��Y件开发解��x��案中是领先的�?br />    来看一下Acegi的重要的�׃�n�l��g。如果组件是框架的核心而且一旦缺��这些组件框架将无法�q��{�Q�那么这些组件可以称为是“共享”的。这些Java�c�d��是系�l�其他部分的基础�Q�所以理解他们是十分重要的，虽然你可以�ƈ不会直接与之互动�?br />
    其中最基础的对象是SecurityContextHolder�Q�用于存储应用安全上下文的细节信息。缺省情况下�Q�SecurityContextHolder使用ThreadLocal来存储信息，�q�意味着安全上下文对于同一个线�E�的所有方法都是有效的。有一些应用不适合使用ThreadLocal�Q�比如：一个Swing的客��L��可能希望所有JVM所有的�U�程都��用相同的安全上下文。对于这�U�情况，你可以用SecurityContextHolder.MODE_GLOBAL。你可以把SecurityContextHolder从缺省模式MODE_THREADLOCAL改变为MODE_GLOBAL�?br />
    在SecurityContextHolder中存储了与应用互动的规则。Acegi使用Authentication对象来表�C��些信息。这�q�不是需要你自己创徏Authentication对象�Q�更通常的做法是查询��C��个Authentication对象。�D例如下，在应用的��M��一个地斚w��可以�q�样使用�Q?/p>

Object obj = SecurityContextHolder.getContext().getAuthentication().getPrincipal();
if( obj instanceof UserDetails){
String username=((UserDetails)obj).getUsername();
}else{
String username=obj.toString();
}

    上面�q�段代码介绍了不��有意思的对象和关�p�R��首先，大家会发现在SecurityContextHolder和Authentication之间存在着一个即时对象：SecurityContext�Q�SecurityContextHolder.GetContext()�q�回的类型就是SecurityContext。Acegi有数个SecurtiyContext的实现�?br />
    另一个值得注意的是我们从Authentication中获得了一个规则。这个规则的�c�d��是：Object。大多数情况下，我们可以把它强制性�{换成UserDetails对象。UserDetails是Acegi的核心接口。它代表了一�U�规则，但是�l�过了应用相关的扩展。可以把UserDetails惌��成�ؓ应用数据库与Acegi的SecurityContextHolder需要的两者之间的适配器（Adapter�Q�。如果作为应用自��q��数据库的代表�Q�那么可以把UserDetails强制性�{换�ؓ其原始类�Q�这��P��你就可以调用其中的业务方法（比如�Q�getEmail()�{�等�Q��?br />
    那么�Q��ؓ什么要提供一个UserDetails对象呢？是这��L��Q�有一个特�D�的接口�Q�UserDetailsService�Q�这个接口只有一个方法，�q�个�Ҏ��接收一个String�c�d��的表�C�用户名的参敎ͼ��q�回UserDetails对象。大多数认证提供provider装配一个代理到UserDetailsService上。UserDetailsService被用于创建SecurityContextHolder中存储的Authentication对象。Acegi中提供了若干个UserDetailsService的实玎ͼ�一个��用内存Map�Q�一个用JDBC。大多数用户們֐�于写一个自��q��实现�Q�通常是��用DAO。不论UserDetailsService�q�回的是什么，都可以通过SecurityContextHolder获得�?/p>

Authentication提供另一个重要的�Ҏ��是getAuthorites()。这个方法返回一个GrantedAuthority对象的数�l�。GrantedAuthority是授权给的认证。这个认证通常指的是“角艜y��，比如�Q�ROLE_ADMINISTRATOR或者ROLE_HR_SUPERVISOR。这些角色需配置用于web认证�Q�方法认证和域对象认证。如果Acegi的其他部分希望看到这些认证，那么UserDetailsService�q�回GrantedAuthority对象卛_��?/p>

最后，有时你需要在HTTP requests之间传递SecurityContext�Q�有时每�ơ请求都需要重新认证。那么可以��用HttpSessionContextIntergrationFilter�Q�这是用于在HTTP Request之间传递SecurityContext的东东。就象名�U�所表示的那��P��HttpSession用于存储�q�些信息。但是你不需要直接操作HttpSession�?/p>

云自无心水自�?/a> 2007-03-07 13:00 发表评论

亚洲AV午夜福利精品一区二区,亚洲AV无码成H人在线观看,国产黄色一级毛片亚洲黄片大全

appfuse 1.9.4 学习心得 II

Acegi 开源安全认�?解决�Ҏ�� 学习研究 I