वसंत सुरक्षा अवलोकन

इसलिए, प्रिय हबल्युज़र, मेरा सुझाव है कि आप स्प्रिंग सिक्योरिटी के ऐसे पहलुओं पर विचार करें:

• कुंजी स्प्रिंग सुरक्षा संदर्भ ऑब्जेक्ट।
  
• वसंत सुरक्षा में प्रमाणीकरण प्रक्रिया।
  
• वसंत सुरक्षा को परियोजना से जोड़ना।
  

स्प्रिंग सिक्योरिटी एक जावा / जावाईई फ्रेमवर्क है जो प्रमाणीकरण और प्राधिकरण प्रणालियों के निर्माण के लिए तंत्र प्रदान करता है, साथ ही स्प्रिंग फ्रेमवर्क का उपयोग करके बनाए गए उद्यम अनुप्रयोगों के लिए अन्य सुरक्षा विशेषताएं भी प्रदान करता है। बेन अलेक्स द्वारा 2003 के अंत में "एसेगी सिक्योरिटी" नाम के तहत परियोजना शुरू की गई थी, पहली रिलीज़ 2004 में रिलीज़ हुई थी। इसके बाद, परियोजना स्प्रिंग द्वारा अवशोषित कर ली गई और यह इसकी आधिकारिक सहायक परियोजना बन गई। पहली बार अप्रैल 2008 में नए स्प्रिंग सिक्योरिटी 2.0.0 नाम के तहत सार्वजनिक रूप से पेश किया गया।

मुख्य स्प्रिंग सुरक्षा संदर्भ वस्तुएँ:

• SecurityContextHolder, इसमें एप्लिकेशन के वर्तमान सुरक्षा संदर्भ के बारे में जानकारी शामिल है, जिसमें वर्तमान में एप्लिकेशन के साथ काम करने वाले उपयोगकर्ता (प्रिंसिपल) के बारे में विस्तृत जानकारी शामिल है। डिफ़ॉल्ट रूप से, SecurityContextHolder ऐसी जानकारी को संग्रहीत करने के लिए थ्रेडलोक का उपयोग करता है, जिसका अर्थ है कि सुरक्षा संदर्भ हमेशा उसी थ्रेड पर निष्पादित करने वाले तरीकों के लिए उपलब्ध है। इस जानकारी के लिए संग्रहण रणनीति को बदलने के लिए, आप SecurityContextHolder.setStrategyName (स्ट्रिंग रणनीति) वर्ग की स्थिर विधि का उपयोग कर सकते हैं। अधिक SecurityContextHolder
  
• SecurityContext, में प्रमाणीकरण ऑब्जेक्ट होता है और, यदि आवश्यक हो, तो उपयोगकर्ता से अनुरोध के साथ जुड़ी सुरक्षा जानकारी।
  
• प्रमाणीकरण वसंत सुरक्षा के दृष्टिकोण से उपयोगकर्ता (प्रिंसिपल) का प्रतिनिधित्व करता है।
  
• GrantedAuthority पूरे आवेदन में उपयोगकर्ता को दी गई अनुमतियों को दर्शाती है, ऐसी अनुमतियाँ (आमतौर पर "भूमिका"), उदाहरण के लिए ROLE_ANONYMOUS, ROLE_USER, ROLE_ADMIN।
  
• UserDetails DAO एप्लिकेशन ऑब्जेक्ट या अन्य सुरक्षा डेटा स्रोतों से प्रमाणीकरण ऑब्जेक्ट बनाने के लिए आवश्यक जानकारी प्रदान करता है। UserDetails ऑब्जेक्ट में उपयोगकर्ता का नाम, पासवर्ड, झंडे शामिल हैं: isAccountNonExpired, isAccountNonLocked, isCredentialsNonExpired, isEnabled और संग्रह - अधिकार (उपयोगकर्ता की भूमिकाएँ)।
  
• UserDetailsService, इस इंटरफ़ेस की एकमात्र विधि को लागू करके UserDetails ऑब्जेक्ट बनाने के लिए उपयोग किया जाता है
  
  

  UserDetails loadUserByUsername(String username) throws UsernameNotFoundException; 

  
  
  आपको किसी डेटा स्रोत से उपयोगकर्ता ऑब्जेक्ट प्राप्त करने और उपयोगकर्ता से एक उपयोगकर्ता-ऑब्जेक्ट बनाने की अनुमति देता है जिसका उपयोग स्प्रिंग सुरक्षा संदर्भ द्वारा किया जाएगा।
  

प्रमाणीकरण

(1) उपयोगकर्ता को एक नाम (लॉगिन या ईमेल) और पासवर्ड प्रदान करके लॉग इन करने के लिए प्रेरित किया जाएगा। उपयोगकर्ता नाम और पासवर्ड को UsernamePasswordAuthenticationToken वर्ग (प्रमाणीकरण इंटरफ़ेस का एक उदाहरण) के एक उदाहरण में जोड़ा जाता है, जिसके बाद इसे सत्यापन के लिए AuthenticationManager उदाहरण के लिए पास किया जाता है।

(2) यदि पासवर्ड उपयोगकर्ता नाम से मेल नहीं खाता है, तो BadCredentialsException "Bad Credential" संदेश के साथ फेंक दिया जाएगा।

(3) यदि प्रमाणीकरण सफल है, तो पूरी तरह से प्रमाणित प्रमाणीकरण उदाहरण वापस आ जाता है।

(4) उपयोगकर्ता के लिए SecurityContextHolder.getContext () कॉल करके एक सुरक्षा प्रसंग सेट किया जाता है। SetAuthentication (...) विधि, जहाँ वह वस्तु जो AuthenticationManager को लौटाया जाता है।

स्प्रिंगफ्रैमवर्क अनुप्रयोग के लिए सुरक्षा समर्थन कनेक्शन:

1. pom.xml

 <properties> <spring.version>3.1.4.RELEASE</spring.version> </properties> <!-- Spring Security --> <dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-core</artifactId> <version>${spring.version}</version> </dependency> <dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-web</artifactId> <version>${spring.version}</version> </dependency> <dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-config</artifactId> <version>${spring.version}</version> </dependency> 

2. web.xml

 <filter> <filter-name>springSecurityFilterChain</filter-name> <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class> </filter> <filter-mapping> <filter-name>springSecurityFilterChain</filter-name> <url-pattern>/*</url-pattern> </filter-mapping> 

और हां, Security.xml कॉन्फ़िगरेशन फ़ाइल ही

 <beans:beans xmlns="http://www.springframework.org/schema/security" xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-3.0.xsd http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-3.0.xsd"> <http access-denied-page="/error403.jsp"> <intercept-url pattern="/index*" access="ROLE_USER,ROLE_ANONYMOUS"/> <intercept-url pattern="/add*" access="ROLE_USER"/> <intercept-url pattern="/delete/*" access="ROLE_ADMIN"/> <form-login login-page="/login.jsp" default-target-url="/index" authentication-failure-url="/login.jsp?error=true"/> <logout logout-url="/logout" logout-success-url="/index"/> <anonymous username="guest" granted-authority="ROLE_ANONYMOUS"/> <remember-me/> </http> <authentication-manager> <authentication-provider> <user-service> <user name="admin" password="pass" authorities="ROLE_ADMIN,ROLE_USER"/> <user name="user1" password="1111" authorities="ROLE_USER"/> <user name="user2" password="2222" disabled="true" authorities="ROLE_USER"/> </user-service> </authentication-provider> </authentication-manager> </beans:beans> 

सुरक्षा की व्याख्या। xml कोड:
यह समझा जाता है कि पेज login.jsp में एक्शन = "/ j_spring_security_check" नाम के साथ एक फॉर्म है, जिसमें नाम = "j_username" और नाम = "j_password" के साथ नाम और पासवर्ड के लिए इनपुट हैं, साथ ही name = "_ spring_security_remember_me" के साथ एक चेकबॉक्स है। ये सभी विशेष मूल्य हैं जो स्प्रिंग सुरक्षा की आवश्यकता होती है, अन्यथा मापदंडों को सुरक्षा संदर्भ में पारित नहीं किया जाएगा। सफल प्रमाणीकरण के बाद, उपयोगकर्ता को / सूचकांक पृष्ठ पर पुनः निर्देशित किया जाएगा जहां प्राधिकरण नियम पहले से ही लागू हैं। यदि आप http वसंत-सुरक्षा में फ़ॉर्म और url निर्दिष्ट नहीं करते हैं, तो मूलभूत प्रमाणीकरण डिफ़ॉल्ट रूप से काम करेगा या http वसंत-सुरक्षा <http-basic /> को मजबूर करके मूल प्रमाणीकरण सक्षम किया जा सकता है

Url / index * का उपयोग उपयोगकर्ताओं को अधिकार ROLE_USER के साथ-साथ मेहमानों (सभी कनेक्शन जो प्रमाणित नहीं करते हैं, नाम अतिथि और अधिकार ROLE_ANONYMOUS प्राप्त करते हैं) को दिए जा सकते हैं।
Url / ऐड * तक पहुंच केवल ROLE_USER विशेषाधिकारों वाले उपयोगकर्ताओं के पास url / delete * तक पहुँचने के लिए केवल ROLE_ADERIN विशेषाधिकार वाले उपयोगकर्ता हैं

इसके अलावा, अधिकृत एक्सेस को विधियों में बांधा जा सकता है, इसके लिए आपको सुरक्षा में निम्नलिखित तत्व जोड़ना होगा। xml :

 <global-method-security secured-annotations="enabled" /> 

और कोड में ही:

  public interface AdminService { @Secured("ROLE_ADMIN") public Account editAccount(Account account); } 

उदाहरण में, उपयोगकर्ताओं को एक .xml फ़ाइल में सूची में संग्रहीत किया जाता है अर्थात् इस डेटा के साथ UsernamePasswordAuthenticationToken की तुलना की जाएगी। डेटाबेस (ORM का उपयोग करते हुए) में उपयोगकर्ताओं के साथ तुलना करने के लिए, आपको UserDetailsService इंटरफ़ेस के लोडयूज़रबाइयरनाम विधि को लागू करने और <प्रमाणीकरण-प्रदाता उपयोगकर्ता-सेवा-रेफरी = "userDetelsService"> को अपने UserDetailsService कार्यान्वयन की बीन के संदर्भ में निर्दिष्ट करने की आवश्यकता है। यदि आप ORM का उपयोग नहीं कर रहे हैं और आपको केवल JDBC का उपयोग करके डेटाबेस से उपयोगकर्ता अधिकारों को निकालने की आवश्यकता है, तो आपको डेटा स्रोत बीन निर्धारित करने की आवश्यकता है जिसके साथ स्प्रिंग को पता चलेगा कि डेटाबेस तक कैसे पहुंचना है और <प्रमाणीकरण-प्रदाता> इस बीन के लिए एक लिंक निर्दिष्ट करें और दो को परिभाषित करें एक क्वेरी जिसके द्वारा आवश्यक डेटा उपयोगकर्ताओं-उपयोगकर्ता नाम-क्वेरी और अधिकारियों द्वारा उपयोगकर्ता नाम-क्वेरी को खींच लिया जाएगा।

 <beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-2.5.xsd"> <bean id="dataSource" class="org.springframework.jdbc.datasource.DriverManagerDataSource"> <property name="driverClassName" value="com.mysql.jdbc.Driver" /> <property name="url" value="jdbc:mysql://localhost:3306/<yourDataBaseName>" /> <property name="username" value="root" /> <property name="password" value="password" /> </bean> <authentication-provider> <jdbc-user-service data-source-ref="dataSource" users-by-username-query="select username, password, enabled from users where username = ?" authorities-by-username-query="select u.username, au.authority from users u, authorities au where u.id = au.user_id and u.username = ?" /> </authentication-provider> </beans> 

पासवर्डों की जाँच भी की जा सकती है:

 <authentication-manager> <authentication-provider> <password-encoder hash="sha"/> <user-service> <user name="jimi" password="d7e6351eaa13189a5a3641bab846c8e8c69ba39f" authorities="ROLE_USER, ROLE_ADMIN" /> <user name="bob" password="4e7421b1b8765d8f9406d87e7cc6aa784c4ab97f" authorities="ROLE_USER" /> </user-service> </authentication-provider> </authentication-manager> <password-encoder hash="sha"> <salt-source user-property="username"/> </password-encoder> 

वह सब है। यहाँ अधिक जानकारी:
(१) प्रलेखन
(२) आवेदन उदाहरण