| 失效鏈接處理 |
|
Spring Security 實(shí)戰(zhàn)干貨 PDF 下載
本站整理下載：
相關(guān)截圖：
主要內(nèi)容：
web應(yīng)用達(dá)到生產(chǎn)需要就必須有安全控制。java web領(lǐng)域經(jīng)常提及的兩大開源框架主要有兩種選擇
Spring Security和Apache Shiro 。所以學(xué)習(xí)這兩種框架也是java開發(fā)者提高水平的必經(jīng)之路。從今天開始
連續(xù)一段時間內(nèi)，研究一下Spring Security。如果想學(xué)習(xí)的同學(xué)可以關(guān)注一下公眾號： Felordcn 或者
通過 https://felord.cn 來及時獲取相關(guān)的干貨。
2. Spring Security 和Apache Shiro
相對于Apache Shiro，Spring Security提供了更多的諸如 LDAP 、 OAuth2.0 、 ACL 、 Kerberos 、
SAML 、 SSO 、 OpenID 等諸多的安全認(rèn)證、鑒權(quán)協(xié)議，可以按需引用。對認(rèn)證/鑒權(quán)更加靈活，粒度更
細(xì)。可以結(jié)合你自己的業(yè)務(wù)場景進(jìn)行更加合理的定制化開發(fā)。在最新的Spring Security 5.x中更是提供了
響應(yīng)式應(yīng)用（reactive application）提供了安全控制支持。從語言上來講，支持使用kotlin、groovy進(jìn)行開
發(fā)。
Spring Security因?yàn)槭抢昧薙pring IOC 和AOP的特性而無法脫離Spring獨(dú)立存在。而Apache Shiro可以獨(dú)
立存在。但是Java Web領(lǐng)域Spring可以說是事實(shí)上的J2EE規(guī)范。使用Java技術(shù)棧很少能脫離Spring。也因
為功能強(qiáng)大Spring Security被認(rèn)為非常重，這是不對的。認(rèn)真學(xué)習(xí)之后會發(fā)現(xiàn)其實(shí)也就是那么回事。兩種
框架都是非常優(yōu)秀的安全框架，根據(jù)實(shí)際需要做技術(shù)選型。如果你要學(xué)習(xí)這兩種安全框架就必須熟悉一
下一些相對專業(yè)的概念。
3. 認(rèn)證/鑒權(quán)
這兩個概念英文分別為 authentication / authorization 。是不是特別容易混淆。無論你選擇
Apache Shiro 或者 Spring Security 都需要熟悉這兩個概念。其實(shí)簡單來說認(rèn)證（authentication）就是為
了證明 你是誰 ，比如你輸入賬號密碼證明你是用戶名為 Felordcn 的用戶。而授權(quán)（authorization）是
通過認(rèn)證后的用戶所綁定的角色等憑證來證明 你可以做什么 。打一個現(xiàn)實(shí)中的例子。十一長假大家遠(yuǎn)行
都要乘坐交通工具，現(xiàn)在坐車實(shí)名制，也就是說你坐車需要兩件東西： 身份證 和 車票 。身份證是為了
證明你確實(shí)是你，這就是 authentication ；而車票是為了證明你張三確實(shí)買了票可以上車，這就是
authorization 。這個例子從另一方面也證明了。如果只有認(rèn)證沒有授權(quán)，認(rèn)證就沒有意義。如果沒
有認(rèn)證，授權(quán)就無法賦予真正的可信任的用戶。兩者是同時存在的。
4. 過濾器鏈
對于servlet web應(yīng)用來說，想要通用的安全控制最好莫過于使用 Servlet Filter 。 過濾器責(zé)任鏈
（關(guān)于責(zé)任鏈可以通過https://www.felord.cn/chainpattern.html 來了解）來組成一系列的過濾策略，不
同的條件的請求進(jìn)入不同的過濾器進(jìn)行各自的處理邏輯。我們可以對這些 Filter 進(jìn)行排列組合以滿足
我們的實(shí)際業(yè)務(wù)需要。
5. RBAC模型
RBAC 是基于角色的訪問控制（Role-Based Access Control ）的簡稱。在 RBAC 中，權(quán)限與角色相關(guān)聯(lián)，
用戶通過成為適當(dāng)角色的成員而得到這些角色的權(quán)限。這就極大地簡化了權(quán)限的管理。這樣管理都是層
級相互依賴的，權(quán)限賦予給角色，而把角色又賦予用戶，這樣的權(quán)限設(shè)計(jì)很清楚，管理起來很方便。當(dāng)
你擁有某個角色以后，你自然繼承了該角色的所有功能。對你的一些操作限制不需要直接與你進(jìn)行溝
通，只需要操作你擁有的角色。比如你在公司既是一個java程序員又是一個前端程序員，那么你不但要
當(dāng)sqlboy還要當(dāng)頁面仔。如果有一天經(jīng)理說了前端負(fù)責(zé)測試工作，好了你又承擔(dān)了測試任務(wù)。
|
| Java1234官方群25： | 
|
| Java1234官方群25： | 838462530 |
蘇公網(wǎng)安備 32061202001004號
