Spring Security之入门demo(xml配置文件方式)

此处使用spring Security3.1，springMVC+SpringSecurity。

配置文件：spring-security.xml

<beans xmlns="http://www.springframework.org/schema/beans"
	xmlns:security="http://www.springframework.org/schema/security"
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://www.springframework.org/schema/beans
          http://www.springframework.org/schema/beans/spring-beans-3.1.xsd
          http://www.springframework.org/schema/security
          http://www.springframework.org/schema/security/spring-security-3.1.xsd">

	<!-- auto-config="true":自动生成login.jsp等页面 -->

	<security:http auto-config="true">
		<!-- 跳转成功则默认跳转到欢迎页面，此处可以显示指定跳转页面 -->
		<security:form-login 
				login-page="/login.html"
         		login-processing-url="/login.do" 
         		default-target-url="/hhh.html"
         		authentication-success-handler-ref="authSuccess"
         		authentication-failure-handler-ref="authFailure"
         		username-parameter="username"
         		password-parameter="password" />
      	<!-- 表示匿名用户可以访问，效果等价于：<security:http security="none" pattern="//login.html"(这个方式下对应URL请求不进入security的过滤器) /> -->
      	<security:intercept-url pattern="/login.html" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
      	<security:http-basic/>
      	<!-- 表示所有请求都需要用户及以上权限才能访问 -->
      	<security:intercept-url pattern="/**" access="ROLE_USER" />
	</security:http>
	
	<!-- 认证成功后的处理类 -->
	<bean id="authSuccess" class="com.txd.security.utils.AuthenticationSuccessHandlerImpl"/>
   	<!-- 认证失败后的处理类 -->
   	<bean id="authFailure" class="com.txd.security.utils.AuthenticationFailureHandlerImpl"/>
   
	<security:authentication-manager>
		<security:authentication-provider>
			<security:user-service>
				<security:user name="user" password="user" authorities="ROLE_USER" />
				<security:user name="admin" password="admin" authorities="ROLE_USER, ROLE_ADMIN" />
			</security:user-service>
		</security:authentication-provider>
	</security:authentication-manager>

</beans>

        默认情况下，我们在登录成功后会返回到原本受限制的页面。但如果用户是直接请求登录页面，
        登录成功后应该跳转到哪里呢？默认情况下它会跳转到当前应用的根路径，即欢迎页面。
        通过指定 form-login 元素的 default-target-url 属性，我们可以让用户在直接登录后跳转到指定的页面。
        如果想让用户不管是直接请求登录页面，还是通过 Spring Security 引导过来的，登录之后都跳转到指定的页面，
        我们可以通过指定 form-login 元素的 always-use-default-target 属性为 true 来达到这一效果
        
        authentication-success-handler-ref 对应一个 AuthencticationSuccessHandler 
        实现类的引用。如果指定了 authentication-success-handler-ref，登录认证成功后会调用指定
        AuthenticationSuccessHandler 的 onAuthenticationSuccess 方法。
        我们需要在该方法体内对认证成功做一个处理，然后返回对应的认证成功页面。
        使用了 authentication-success-handler-ref 之后认证成功后的处理就由指定的
        AuthenticationSuccessHandler 来处理，之前的那些 default-target-url 之类的就都不起作用了。
        
        默认情况下登录失败后会返回登录页面，我们也可以通过 form-login 元素的 authentication-failure-url 
        来指定登录失败后的页面。需要注意的是登录失败后的页面跟登录页面一样也是需要配置成在未登录的情况下可以访问，
        否则登录失败后请求失败页面时又会被 Spring Security 重定向到登录页面。
        
        通过定义 http 元素下的 http-basic 元素可以达到弹窗认证效果
    

配置文件：web.xml

<web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xmlns="http://java.sun.com/xml/ns/javaee"
	xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd"
	version="2.5">

	<display-name>Archetype Created Web Application</display-name>
	
	<welcome-file-list>
		<welcome-file>login.html</welcome-file>
	</welcome-file-list>

	<!-- 加载spring容器 -->
	<context-param>
		<param-name>contextConfigLocation</param-name>
		<param-value>classpath:properties/spring-*.xml</param-value>
	</context-param>
	<listener>
		<listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
	</listener>

	<filter>
		<filter-name>springSecurityFilterChain</filter-name>
		<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
	</filter>
	<filter-mapping>
		<filter-name>springSecurityFilterChain</filter-name>
		<url-pattern>/*</url-pattern>
	</filter-mapping>

	<servlet>
		<servlet-name>springDispatcherServlet</servlet-name>
		<servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
		<init-param>
			<param-name>contextConfigLocation</param-name>
			<param-value>classpath:springmvc.xml</param-value>
		</init-param>
		<load-on-startup>1</load-on-startup>
	</servlet>

	<!-- Map all requests to the DispatcherServlet for handling -->
	<servlet-mapping>
		<servlet-name>springDispatcherServlet</servlet-name>
		<url-pattern>*.do</url-pattern>
	</servlet-mapping>

</web-app>

注意此处的过滤器使用的是springSecurity的过滤器。另外，此处设置的welcome-file基本上没有起作用。