Spring Security 5.1 中文 参考手册 中文文档.pdf

《Spring Security 5.1 中文 参考手册 中文文档.pdf》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、SpringSecurityReference译:Spring安全参考本帮助文档是觉得烦死整理--QQ:654638585声明：中文文档都是由软件翻译,翻译内容未检查校对,文档内容仅供参考。您可以任意转发，但请至保留作者&出处(http://bolg.fondme.cn)，请尊重作者劳动成果,谢谢！Authors译:作者BenAlex,LukeTaylor,RobWinch,GunnarHillert,JoeGrandja,JayBryant5.1.0.M1版权所有©2004-2017本文件副本可供

2、您自行使用并分发给其他人，前提是您不收取任何此类副本的费用，并进一步规定每份副本均包含此版权声明，无论是以印刷版还是电子版分发。译:SpringSecurity是一个强大且高度可定制的身份验证和访问控制框架。这是保护基于Spring的应用程序的事实标准。PartI.Preface译:第一部分前言SpringSecurity为基于JavaEE的企业软件应用程序提供了全面的安全解决方案。正如您在参考指南中发现的那样，我们试图为您提供一个有用且高度可配置的安全系统。安全是一个不断移动的目标，并且追求全面的

3、系统范围方法非常重要。在安全圈中，我们鼓励您采用“安全层”，以便每层都尽可能保证安全，连续层提供额外的安全性。每层的安全性越“紧密”，应用程序就越健壮和安全。在底层，您需要处理诸如运输安全和系统识别等问题，以缓解中间人攻击。接下来，您通常会使用防火墙，可能使用VPN或IP安全性来确保只有经过授权的系统才能尝试连接。在企业环境中，您可以部署一个DMZ，将面向公众的服务器与后端数据库和应用程序服务器分开。您的操作系统也将扮演重要角色，解决诸如以无特权用户身份运行进程等问题并最大限度提高文件系统安全性。操

4、作系统通常也会配置自己的防火墙。希望在这个过程中的某个地方你会试图阻止对系统的拒绝服务和暴力攻击。入侵检测系统对于监视和响应攻击也特别有用，因为这些系统能够采取保护措施，例如实时阻止侵入TCP/IP地址。转移到更高层，您的Java虚拟机将有望配置为最大限度地减少授予不同Java类型的权限，然后您的应用程序将添加自己的问题特定于域的安全配置。SpringSecurity使后面的这个领域-应用程序的安全性更容易。当然，您需要正确处理上面提到的所有安全层，以及包含每个层的管理因素。这些管理因素的非详尽清单

5、将包括安全公告监控，修补，人员审查，审计，变更控制，工程管理系统，数据备份，灾难恢复，性能基准测试，负载监控，集中式日志记录，事件响应程序等。由于SpringSecurity专注于帮助企业应用程序安全层，因此您会发现有多少不同的需求与业务问题域相同。银行应用程序对电子商务应用程序有不同的需求。电子商务应用程序对企业销售人员自动化工具有不同的需求。这些自定义要求使应用程序安全性变得有趣，富有挑战性和有益。请首先阅读Chapter1,GettingStarted的全部内容。这将向您介绍框架和基于命名空间

6、的配置系统，您可以使用该系统快速启动和运行。为了更好地理解SpringSecurity的工作原理以及您可能需要使用的一些类，请阅读PartII,“ArchitectureandImplementation”。本指南的其余部分采用更传统的参考样式，旨在根据需要进行阅读。我们还建议您尽可能多地阅读应用程序安全问题。SpringSecurity不是解决所有安全问题的万能药。从一开始，应用程序的设计就要考虑到安全性，这一点很重要。试图改造它并不是一个好主意。特别是，如果您正在构建Web应用程序，则应该意识到

7、许多潜在的漏洞，例如跨站脚本，请求伪造和会话劫持，您应该从一开始就考虑这些漏洞。OWASP网站（http://www.owasp.org/）保留了Web应用程序漏洞的十大列表以及大量有用的参考信息。我们希望您发现本参考指南很有用，我们欢迎您的反馈和suggestions。最后，欢迎来到SpringSecuritycommunity。1.GettingStarted译:1.入门本指南的后面部分提供了关于框架体系结构和实现类的深入讨论，您需要了解是否需要进行任何严格的自定义。在这一部分，我们将介绍Spr

8、ingSecurity4.0，简要介绍一下该项目的历史，并对如何开始使用该框架稍微考虑一下。特别是，我们将着眼于命名空间配置，与传统的Springbean方法相比，它提供了一种更简单的保护应用程序的方法，您必须单独连接所有实现类。我们还会看看可用的示例应用程序。在你阅读后面的章节之前，值得尝试运行它们并尝试一些-你可以在对框架的理解增加的时候重新考虑它们。请同时查阅http://spring。io/spring-security[项目网站]，因为它有关于构建项目的有用