Acegi安全系统的配置

Acegi 的配置看起来非常复杂,但事实上在实际项目的安全应用中我们并不需要那么多功能,清楚的了解Acegi配置中各项的功能，有助于我们灵活的运用Acegi于实践中。

2.1 在Web.xml中的配置
1) FilterToBeanProxy Acegi通过实现了Filter接口的FilterToBeanProxy提供一种特殊的使用Servlet Filter的方式，它委托Spring中的Bean -- FilterChainProxy来完成过滤功能，这好处是简化了web.xml的配置，并且充分利用了Spring IOC的优势。

FilterChainProxy包含了处理认证过程的filter列表，每个filter都有各自的功能。

<filter>
<filter-name>Acegi Filter Chain Proxy</filter-name>
<filter-class>org.acegisecurity.util.FilterToBeanProxy</filter-class>
<init-param>
<param-name>targetClass</param-name>
<param-value>org.acegisecurity.util.FilterChainProxy</param-value> </init-param>
</filter>2) filter-mapping <filter-mapping>限定了FilterToBeanProxy的URL匹配模式,只有*.do和*.jsp和/j_acegi_security_check 的请求才会受到权限控制，对javascript,css等不限制。

<filter-mapping>
<filter-name>Acegi Filter Chain Proxy</filter-name>
<url-pattern>*.do</url-pattern>
</filter-mapping>
<filter-mapping>
<filter-name>Acegi Filter Chain Proxy</filter-name>
<url-pattern>*.jsp</url-pattern>
</filter-mapping>
<filter-mapping>
<filter-name>Acegi Filter Chain Proxy</filter-name>
<url-pattern>/j_acegi_security_check</url-pattern>
</filter-mapping>3) HttpSessionEventPublisher <listener>的HttpSessionEventPublisher用于发布HttpSessionApplicationEvents和HttpSessionDestroyedEvent事件给spring的applicationcontext。

<listener>
<listener-class>org.acegisecurity.ui.session.HttpSessionEventPublisher</listener-class> </listener>
2.2 在applicationContext-acegi-security.xml中
2.2.1 FILTER CHAIN
FilterChainProxy会按顺序来调用这些filter,使这些filter能享用Spring ioc的功能,
CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON定义了url比较前先转为小写，PATTERN_TYPE_APACHE_ANT定义了使用Apache ant的匹配模式
<bean id="filterChainProxy" class="org.acegisecurity.util.FilterChainProxy">
<property name="filterInvocationDefinitionSource">
<value>
CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
PATTERN_TYPE_APACHE_ANT
/**=httpSessionContextIntegrationFilter,authenticationProcessingFilter, basicProcessingFilter,rememberMeProcessingFilter,anonymousProcessingFilter, exceptionTranslationFilter,filterInvocationInterceptor
</value>
</property>
</bean>2.2.2 基础认证
1) authenticationManager 起到认证管理的作用，它将验证的功能委托给多个Provider，并通过遍历Providers, 以保证获取不同来源的身份认证，若某个Provider能成功确认当前用户的身份，authenticate()方法会返回一个完整的包含用户授权信息的Authentication对象，否则会抛出一个AuthenticationException。

Acegi提供了不同的AuthenticationProvider的实现,如：DaoAuthenticationProvider 从数据库中读取用户信息验证身份AnonymousAuthenticationProvider 匿名用户身份认证RememberMeAuthenticationProvider 已存cookie中的用户信息身份认证AuthByAdapterProvider 使用容器的适配器验证身份CasAuthenticationProvider 根据Yale中心认证服务验证身份, 用于实现单点登陆JaasAuthenticationProvider 从JASS登陆配置中获取用户信息验证身份RemoteAuthenticationProvider 根据远程服务验证用户身份RunAsImplAuthenticationProvider 对身份已被管理器替换的用户进行验证X509AuthenticationProvider 从X509认证中获取用户信息验证身份TestingAuthenticationProvider 单元测试时使用
每个认证者会对自己指定的证明信息进行认证，如DaoAuthenticationProvider仅对UsernamePasswordAuthenticationToken这个证明信息进行认证。

<bean id="authenticationManager" class="org.acegisecurity.providers.ProviderManager"> <property name="providers">
<list>
<ref local="daoAuthenticationProvider"/>
<ref local="anonymousAuthenticationProvider"/>
<ref local="rememberMeAuthenticationProvider"/>
</list>
</property>
</bean>2) daoAuthenticationProvider 进行简单的基于数据库的身份验证。

DaoAuthenticationProvider获取数据库中的账号密码并进行匹配，若成功则在通过用户身份的同时返回一个包含授权信息的Authentication对象，否则身份验证失败，抛出一个AuthenticatiionException。

<bean id="daoAuthenticationProvider" class="org.acegisecurity.providers.dao.DaoAuthenticationProvider">
<property name="userDetailsService" ref="jdbcDaoImpl"/>
<property name="userCache" ref="userCache"/>
<property name="passwordEncoder" ref="passwordEncoder"/>
</bean>3) passwordEncoder 使用加密器对用户输入的明文进行加密。

Acegi提供了三种加密器: PlaintextPasswordEncoder—默认，不加密，返回明文. ShaPasswordEncoder—哈希算法(SHA)加密Md5PasswordEncoder—消息摘要(MD5)加密
<bean id="passwordEncoder" class="org.acegisecurity.providers.encoding.Md5PasswordEncoder"/>4) jdbcDaoImpl 用于在数据中获取用户信息。

acegi提供了用户及授权的表结构，但是您也可以自己来实现。

通过usersByUsernameQuery这个SQL得到你的(用户ID,密码,状态信息);通过authoritiesByUsernameQuery这个SQL得到你的(用户ID,授权信息)
<bean id="jdbcDaoImpl" class="erdetails.jdbc.JdbcDaoImpl"> <property name="dataSource" ref="dataSource"/>
<property name="usersByUsernameQuery">
<value>select loginid,passwd,1 from users where loginid = ?</value> </property>
<property name="authoritiesByUsernameQuery">
<value>select u.loginid, from users u,roles r,permissions p,user_role ur,role_permis rp where u.id=er_id and r.id=ur.role_id and p.id=rp.permis_id and
r.id=rp.role_id and p.status='1' and u.loginid=?</value>
</property>
</bean>5) userCache& resourceCache 缓存用户和资源相对应的权限信息。

每当请求一个受保护资源时，daoAuthenticationProvider就会被调用以获取用户授权信息。

如果每次都从数据库获取的话，那代价很高，对于不常改变的用户和资源信息来说，最好是把相关授权信息缓存起来。

(详见 2.6.3 资源权限定义扩展) userCache提供了两种实现: NullUserCache和EhCacheBasedUserCache, NullUserCache实际上就是不进行任何缓存，EhCacheBasedUserCache是使用Ehcache来实现缓功能。

<bean id="userCacheBackend" class="org.springframework.cache.ehcache.EhCacheFactoryBean">
<property name="cacheManager" ref="cacheManager"/>
<property name="cacheName" value="userCache"/>
</bean>
<bean id="userCache" class="org.acegisecurity.providers.dao.cache.EhCacheBasedUserCache" autowire="byName"> <property name="cache" ref="userCacheBackend"/>
</bean>
<bean id="resourceCacheBackend" class="org.springframework.cache.ehcache.EhCacheFactoryBean">
<property name="cacheManager" ref="cacheManager"/>
<property name="cacheName" value="resourceCache"/>
</bean>
<bean id="resourceCache" class="org.springside.modules.security.service.acegi.cache.ResourceCache" autowire="byName"> <property name="cache" ref="resourceCacheBackend"/>
</bean>6) basicProcessingFilter 用于处理HTTP头的认证信息，如从Spring远程协议(如Hessian和Burlap)或普通的浏览器如IE,Navigator的HTTP头中获取用户信息，将他们转交给通过authenticationManager属性装配的认证管理器。

如果认证成功，会将一个Authentication对象放到会话中，否则，如果认证失败，会将控制转交给认证入口点(通过authenticationEntryPoint属性装配)
<bean id="basicProcessingFilter" class="org.acegisecurity.ui.basicauth.BasicProcessingFilter">
<property name="authenticationManager" ref="authenticationManager"/>
<property name="authenticationEntryPoint" ref="basicProcessingFilterEntryPoint"/> </bean>7) basicProcessingFilterEntryPoint 通过向浏览器发送一个HTTP401(未授权)消息，提示用户登录。

处理基于HTTP的授权过程，在当验证过程出现异常后的"去向"，通常实现转向、在response里加入error信息等功能。

<bean id="basicProcessingFilterEntryPoint" class="org.acegisecurity.ui.basicauth.BasicProcessingFilterEntryPoint">
<property name="realmName" value="SpringSide Realm"/>
</bean>8) authenticationProcessingFilterEntryPoint 当抛出AccessDeniedException时，将用户重定向到登录界面。

属性loginFormUrl配置了一个登录表单的URL,当需要用户登录时，authenticationProcessingFilterEntryPoint会将用户重定向到该URL
<bean id="authenticationProcessingFilterEntryPoint" class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilterEntryPoint">
<property name="loginFormUrl">
<value>/security/login.jsp</value>
</property>
<property name="forceHttps" value="false"/>
</bean>2.2.3 HTTP安全请求
1) httpSessionContextIntegrationFilter 每次request前HttpSessionContextIntegrationFilter 从Session中获取Authentication对象，在request完后, 又把Authentication对象保存到Session 中供下次request使用,此filter必须其他Acegi filter前使用，使之能跨越多个请求。

<bean id="httpSessionContextIntegrationFilter" class="org.acegisecurity.context.HttpSessionContextIntegrationFilter"></bean> <bean id="httpRequestAccessDecisionManager" class="org.acegisecurity.vote.AffirmativeBased">
<property name="allowIfAllAbstainDecisions" value="false"/>
<property name="decisionV oters">
<list>
<ref bean="roleV oter"/>
</list>
</property>
</bean>2) httpRequestAccessDecisionManager 经过投票机制来决定是否可以访问某一资源(URL或方法)。

allowIfAllAbstainDecisions为false时如果有一个或以上的decisionV oters 投票通过,则授权通过。

可选的决策机制有ConsensusBased和UnanimousBased
<bean id="httpRequestAccessDecisionManager" class="org.acegisecurity.vote.AffirmativeBased">
<property name="allowIfAllAbstainDecisions" value="false"/>
<property name="decisionV oters">
<list>
<ref bean="roleV oter"/>
</list>
</property>
</bean>3) roleV oter 必须是以rolePrefix设定的value开头的权限才能进行投票,如AUTH_ , ROLE_
<bean id="roleV oter" class="org.acegisecurity.vote.RoleVoter">
<property name="rolePrefix" value="AUTH_"/>
</bean>4）exceptionTranslationFilter 异常转换过滤器，主要是处理AccessDeniedException和AuthenticationException，将给每个异常找到合适的"去向"
<bean id="exceptionTranslationFilter" class="org.acegisecurity.ui.ExceptionTranslationFilter">
<property name="authenticationEntryPoint" ref="authenticationProcessingFilterEntryPoint"/>
</bean>5) authenticationProcessingFilter 和servlet spec差不多,处理登陆请求.当身份验证成功时，AuthenticationProcessingFilter会在会话中放置一个Authentication对象，并且重定向到登录成功页面authenticationFailureUrl定义登陆失败时转向的页面defaultTargetUrl定义登陆成功时转向的页面filterProcessesUrl定义登陆请求的页面rememberMeServices用于在验证成功后添加cookie信息
<bean id="authenticationProcessingFilter" class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilter">
<property name="authenticationManager" ref="authenticationManager"/>
<property name="authenticationFailureUrl">
<value>/security/login.jsp?login_error=1</value>
</property>
<property name="defaultTargetUrl">
<value>/admin/index.jsp</value>
</property>
<property name="filterProcessesUrl">
<value>/j_acegi_security_check</value>
</property>
<property name="rememberMeServices" ref="rememberMeServices"/> </bean>6) filterInvocationInterceptor 在执行转向url前检查objectDefinitionSource 中设定的用户权限信息。

首先，objectDefinitionSource中定义了访问URL需要的属性信息(这里的属性信息仅仅是标志，告诉accessDecisionManager要用哪些voter来投票)。

然后，authenticationManager掉用自己的provider来对用户的认证信息进行校验。

最后，有投票者根据用户持有认证和访问url需要的属性，调用自己的voter来投票，决定是否允许访问。

<bean id="filterInvocationInterceptor" class="org.acegisecurity.intercept.web.FilterSecurityInterceptor">
<property name="authenticationManager" ref="authenticationManager"/>
<property name="accessDecisionManager" ref="httpRequestAccessDecisionManager"/>
<property name="objectDefinitionSource" ref="filterDefinitionSource"/> </bean>7) filterDefinitionSource (详见 2.6.3 资源权限定义扩展) 自定义DBFilterInvocationDefinitionSource从数据库和cache中读取保护资源及其需要的访问权限信息
<bean id="filterDefinitionSource" class="org.springside.modules.security.service.acegi.DBFilterInvocationDefinitionSource"> <property name="convertUrlToLowercaseBeforeComparison" value="true"/>
<property name="useAntPath" value="true"/>
<property name="acegiCacheManager" ref="acegiCacheManager"/>
</bean>2.2.4 方法调用安全控制
(详见2.6.3 资源权限定义扩展)
1) methodSecurityInterceptor 在执行方法前进行拦截，检查用户权限信息2) methodDefinitionSource 自定义MethodDefinitionSource从cache中读取权限
<bean id="methodSecurityInterceptor" class="org.acegisecurity.intercept.method.aopalliance.MethodSecurityInterceptor">
<property name="authenticationManager" ref="authenticationManager"/>
<property name="accessDecisionManager" ref="httpRequestAccessDecisionManager"/>
<property name="objectDefinitionSource" ref="methodDefinitionSource"/> </bean>
<bean id="methodDefinitionSource" class="org.springside.modules.security.service.acegi.DBMethodDefinitionSource"> <property name="acegiCacheManager" ref="acegiCacheManager"/> </bean>2.3 Jcaptcha验证码
采用 作为通用的验证码方案，请参考SpringSide中的例子，或网上的：/page/blog?entry=jcaptcha_with_appfuse。

差沙在此过程中又发现acegi logout filter的错误，进行了修正。

另外它默认提供的图片比较难认，我们custom了一个美观一点的版本。

补充！
1.Filter 组件
HttpSessionContextIntegrationFilter
该Filter负责每次请求前从HttpSession中获取Authentication对象，然后把Authentication存于一个新的ContextHolder对象(其实质上只是一个ThreadLocal对象)中，则让该次请求过程中的任何Filter都可以通过ContextHolder来共享Authentication，而不需要从HttpSession中取，减少传HttpRequest参数的麻烦。

在请求完后把Authentication对象保存到HttpSession 中供下次请求使用, 最后把刚才生成的ContextHolder对象销毁。

这样就达到了让Authentication对象跨越多个请求的目的。

注意此filter须在调用其他Acegi filter前使用:
<bean id="httpSessionContextIntegrationFilter" class="org.acegisecurity.context.HttpSessionContextIntegrationFilter"> </bean>
AuthenticationProcessingFilter
该Filter负责处理登陆身份验证。

当接受到与filterProcessesUrl所定义相同的请求时，它会首先通过AuthenticationManager来验证用户身份。

如果验证成功，则重定向到defaultTargetUrl所定义的成功登陆页面。

如果验证失败，则再从rememberMeServices中获取用户身份，若再获取失败，则重定向到authenticationFailureUrl所定义登陆失败页面。

<bean id="authenticationProcessingFilter" class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilter"> <property name="authenticationManager"><ref bean="authenticationManager"/></property> <property
name="authenticationFailureUrl"><value>/acegilogin.jsp?login_error=1</value></property>
<property name="defaultTargetUrl"><value>/</value></property> <property name="filterProcessesUrl"><value>/j_acegi_security_check</value></property>
<property name="rememberMeServices"><ref local="rememberMeServices"/></property> </bean>
LogoutFilter
该Filter负责处理退出登录后所需要的清理工作。

它会把session销毁,把ContextHolder清空，把rememberMeServices从cookies中清除掉，然后重定向到指定的退出登陆页面。

<bean id="logoutFilter" class="org.acegisecurity.ui.logout.LogoutFilter"> <constructor-arg value="/index.jsp"/> <!-- URL redirected to after logout -> <constructor-arg> <list> <ref bean="rememberMeServices"/> <bean class="org.acegisecurity.ui.logout.SecurityContextLogoutHandler"/> </list> </constructor-arg> </bean>
FilterInvocationInterceptor
该过滤器会首先调用AuthenticationManager判断用户是否已登陆认证，如还没认证成功，则重定向到登陆界面。

认证成功，则并从Authentication中获取用户的权限。

然后从objectDefinitionSource属性获取各种URL资源所对应的权限。

最后调用AccessDecisionManager来判断用户所拥有的权限与当前受保华的URL资源所对应的权限是否相匹配。

如果匹配失败，则返回403错误(禁止访问)给用户。

匹配成功则用户可以访问受保护的URL资源。

<bean id="filterInvocationInterceptor" class="org.acegisecurity.intercept.web.FilterSecurityInterceptor"> <property name="authenticationManager"><ref bean="authenticationManager"/></property> <property name="accessDecisionManager"><ref local="httpRequestAccessDecisionManager"/></property> <property name="objectDefinitionSource"> <value> CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
PATTERN_TYPE_APACHE_ANT
/index.jsp=ROLE_ANONYMOUS,ROLE_USER
/hello.htm=ROLE_ANONYMOUS,ROLE_USER
/logoff.jsp=ROLE_ANONYMOUS,ROLE_USER
/switchuser.jsp=ROLE_SUPERVISOR
/j_acegi_switch_user=ROLE_SUPERVISOR
/acegilogin.jsp*=ROLE_ANONYMOUS,ROLE_USER
/**=ROLE_USER </value> </property> </bean>
SecurityContextHolderAwareRequestFilter
该Filter负责通过Decorate Model(装饰模式)，装饰的HttpServletRequest对象。

其Wapper 是ServletRequest包装类HttpServletRequestWrapper的子类(SavedRequestAwareWrapper或SecurityContextHolderAwareRequestWrapper)，附上获取用户权限信息，request参数，headers, Date headers 和cookies 的方法。

<bean id="securityContextHolderAwareRequestFilter" class="org.acegisecurity.wrapper.SecurityContextHolderAwareRequestFilter" />
BasicProcessingFilter
该Filter负责处理HTTP头的认证信息，如从Spring远程协议(如Hessian和Burlap)或普通的浏览器如IE, Navigator的HTTP头中获取用户信息，将他们转交给通过authenticationManager属性装配的认证管理器。

如果认证成功，会将一个Authentication对象放到会话中，否则，如果认证失败，会将控制转交给认证入口点(通过authenticationEntryPoint属性装配)
<bean id="basicProcessingFilter" class="org.acegisecurity.ui.basicauth.BasicProcessingFilter"> <property name="authenticationManager"><ref local="authenticationManager"/></property>
<property name="authenticationEntryPoint"><ref local="basicProcessingFilterEntryPoint"/></property> </bean>
<bean id="basicProcessingFilterEntryPoint" class="org.acegisecurity.ui.basicauth.BasicProcessingFilterEntryPoint"> <property name="realmName"><value>Contacts Realm</value></property> </bean>
RememberMeProcessingFilter
该Filter负责在用户登录后在本地机上记录用户cookies信息，免除下次再次登陆。

检查AuthenticationManager 中是否已存在Authentication对象，如果不存在则会调用RememberMeServices的aotoLogin方法来从cookies中获取Authentication对象
<bean id="rememberMeProcessingFilter" class="org.acegisecurity.ui.rememberme.RememberMeProcessingFilter">
<property name="authenticationManager" ref="authenticationManager" /> <property name="rememberMeServices" ref="rememberMeServices" /> </bean>
AnonymousProcessingFilter
该Filter负责为当不存在任何授权信息时，自动为Authentication对象添加userAttribute中定义的匿名用户权限
<bean id="anonymousProcessingFilter" class="org.acegisecurity.providers.anonymous.AnonymousProcessingFilter">
<property name="key" value="changeThis" /> <property name="userAttribute" value="anonymousUser,ROLE_ANONYMOUS" /> </bean>
ExceptionTranslationFilter
该过滤器负责处理各种异常，然后重定向到相应的页面中。

<bean id="exceptionTranslationFilter" class="org.acegisecurity.ui.ExceptionTranslationFilter"> <property name="authenticationEntryPoint"> <bean class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilterEntryPoint">
<property name="loginFormUrl" value="/login.jsp" /> <property name="forceHttps" value="false" /> </bean> </property> <property name="accessDeniedHandler"> <bean class="org.acegisecurity.ui.AccessDeniedHandlerImpl"> <property name="errorPage" value="/accessDenied.jsp" /> </bean> </property> </bean>
2. 拦截器组件
MethodSecurityInterceptor
该拦截器实现了org.aopalliance.intercept.MethodInterceptor接口。

在方法被调用之前，拦截器会先调用AuthenticationManager判断用户身份是否已验证，然后从objectDefinitionSource
中获取方法所对应的权限，再调用AccessDecisionManager来匹配用户权限和方法对应的权限。

如果用户没有足够权限调用当前方法，则抛出AccessDeniedException使方法不能被调用。

调用runAsManager，使在调用方法前动态改变Authentication中获取用户权限。

<bean id="securityInterceptor" class="org.acegisecurity.intercept.method.aopalliance.MethodSecurityInterceptor">
<property name="validateConfigAttributes"> <value>false</value> </property> <property name="authenticationManager"> <ref local="authenticationManager" /> </property> <property name="accessDecisionManager"> <ref local="accessDecisionManager" /> </property> <property name="runAsManager"> <ref local="runAsManager" /> </property> <property name="objectDefinitionSource"> <value> sample.contact.ContactManager.create=ROLE_USER
sample.contact.ContactManager.getAllRecipients=ROLE_ADMIN
</value> </property> </bean>
BeanNameAutoProxyCreator
设置AOP代理的最简单方法就是用Spring的BeanNameAutoProxyCreator。

在BeanNameAutoProxyCreator中选出你所需要的interceptor, 和列出你所需要保护的Bean。

<bean id="autoProxyCreator" class="org.springframework.aop.framework.autoproxy.BeanNameAutoProxyCreator">
<property name="proxyTargetClass" value="true" /> <property name="interceptorNames"> <list> <idref local="securityInterceptor" /> </list> </property> <property name="beanNames"> <list> <idref bean="userManager"/> <idref bean="roleManager"/> <idref bean="rescManager"/> </list> </property> </bean>
3. 其它组件
AccessDecisionManager
AccessDecisionManager接口有decide()和support()方法。

decide()方法是进行决策是否批准通过，如果没抛出AccessDeniedException则为允许访问资源，否则拒绝访问。

support()方法是根据配置属性和受保护资源的类来判断是否需要对该资源作出决策判断。

AccessDecisionManager的decisionV oters属性需要一个或多个Voter(投票者)，Voter必须实现AccessDecisionV oter 接口。

V oter的工作是去匹配用户已拥有的权限和受保护的资源要求的权限，在该资源有相应权限的情况下，如果匹配则投允许票，否则投反对票。

allowIfAllAbstainDecisions属性表示是否允许所有都弃权时就通过。

V oter的实现类RoleVoter
在当受保护资源的名字由ROLE_开始时才参与投票。

AccessDecisionManager有三个实现类，功能各不相同: AffirmativeBased: 当至少有一个Voter 投允许票时才通过UnanimousBased: 没有Voter投反对票时才通过ConsensusBased: 当所有Voter都投允许票时才通过
<bean id="accessDecisionManager" class="org.acegisecurity.vote.UnanimousBased"> <property name="allowIfAllAbstainDecisions"> <value>false</value> </property> <property name="decisionV oters"> <list> <ref local="roleVoter" /> </list> </property> </bean>
<bean id="roleV oter" class="org.acegisecurity.vote.RoleV oter" />
AuthenticationManager
AuthenticationManager的其中一个实现是ProviderManager，它负责把身份验证的工作委托给一个或多个Provider(认证提供者)。

Provider都是实现AuthenticationProvider接口，该接口有两个方法authenticate()和support ()。

authenticate()方法会尝试验证用户身份，若验证成功则返回一个Authentication对象，否则抛出一个AuthenticationException。

support()方法会评估当前Authentication对象是否适合这Provider来进行进一步的处理，而不是指已经通过。

Provir有多个实现，例如daoAuthenticationProvider，anonymousAuthenticationProvider，rememberMeAuthenticationProvider。

<bean id="authenticationManager" class="org.acegisecurity.providers.ProviderManager"> <property name="providers"> <list> <ref local="daoAuthenticationProvider"/> <ref local="anonymousAuthenticationProvider"/> <ref local="rememberMeAuthenticationProvider"/> </list> </property> </bean>
daoAuthenticationProvider负责提供用户信息，包括用户名和密码。

其中取用户名密码的工作就交给userDetailsService来做。

通过userCache来缓存用户信息，减少查询数据库次数。

用passwordEncoder来使用加密密码。

userDetailsService的接口实现有jdbcDaoImpl和inMemoryDaoImpl。

jdbcDaoImpl通过数据库获取用户名和密码，而inMemoryDaoImpl则只是通过xml定义的方式来获取。

userCache的接口实现有EhCacheBasedUserCache和NullUserCache。

NullUserCache实际上就是不进行缓存。

EhCacheBasedUserCache是基于ehcache的开源缓存项目来实现的。

passwordEncoder是使用加密器对用户输入的明文进行加密。

Acegi提供了三种加密器: PlaintextPasswordEncoder---默认，不加密，返回明文. ShaPasswordEncoder---哈希算法(SHA)加密d5PasswordEncoder---消息摘要(MD5)加密
<bean id="daoAuthenticationProvider"
class="org.acegisecurity.providers.dao.DaoAuthenticationProvider"> <property name="userDetailsService"><ref local="jdbcDaoImpl"/></property> <property name="userCache"><ref local="userCache"/></property> <property name="passwordEncoder"><ref local="passwordEncoder"/></property> </bean>
<bean id="jdbcDaoImpl" class="erdetails.jdbc.JdbcDaoImpl"> <property name="dataSource"><ref bean="dataSource"/></property> </bean>
<bean id="userCache" class="org.acegisecurity.providers.dao.cache.EhCacheBasedUserCache"> <property name="cache"><ref local="userCacheBackend"/></property> </bean>
<bean id="passwordEncoder" class="org.acegisecurity.providers.encoding.Md5PasswordEncoder"/>
<bean id="userCacheBackend" class="org.springframework.cache.ehcache.EhCacheFactoryBean"> <property name="cacheManager"> <ref local="cacheManager"/> </property> <property name="cacheName"> <value>userCache</value> </property> </bean>
<bean id="cacheManager" class="org.springframework.cache.ehcache.EhCacheManagerFactoryBean"/>
anonymousAuthenticationProvider负责匿名用户的AnonymousAuthenticationToken的进一步处理
<bean id="anonymousAuthenticationProvider" class="org.acegisecurity.providers.anonymous.AnonymousAuthenticationProvider">
<property name="key"><value>foobar</value></property> </bean>
rememberMeAuthenticationProvider负责Cookies记忆用户RememberMeAuthenticationToken 的进一步处理
<bean id="rememberMeAuthenticationProvider" class="org.acegisecurity.providers.rememberme.RememberMeAuthenticationProvider">
<property name="key"><value>springRocks</value></property> </bean>
RememberMeServices
rememberMeServices负责通过以cookie的形式保存先前的用户登录信息。

在Authentication 对象不存在时，rememberMeProcessingFilter会调用rememberMeServices的autoLogin()方法，尝试在cookie中获取用户登录信息，如果存在则并返回Authentication对象。

在每次用户登录时，如果设置了RememberMe功能，在验证用户身份成功后，则会调用loginSuccess()方法记录用户信息在cookie中，否则调用loginFail()方法清除cookie。

<bean id="rememberMeServices" class="org.acegisecurity.ui.rememberme.TokenBasedRememberMeServices">
<property name="userDetailsService" ref="userDetailsService" /> <property name="key" value="changeThis" /> </bean>
runAsManager
runAsManager提供了动态替换ContextHolder中Authentication对象的功能。

<bean id="runAsManager" class="org.acegisecurity.runas.RunAsManagerImpl"> <property name="key"> <value>my_run_as_password</value> </property> </bean>
本文来自CSDN博客，转载请标明出处：/phevose/archive/2007/05/28/1628289.aspx。