《Spring Security3》第四章第二部分翻译（JdbcDaoImpl的高级配置）

 

 

JdbcDaoImpl的高级配置

JdbcDaoImpl拥有众多的可配置选项使其可以在已存在的schema中使用，或对其功能进行更复杂地调整。在很多场景下，很可能我们只需调整内置UserDetailsService类的配置而不需要写自己的代码。

 

有一个很重要的功能就是在用户（User）和权限（GrantedAuthority）之间添加一个隔离层（a level of indirection——找不到更好的译法了），这通过将GrantedAuthority按照逻辑划分成集合即组（group）来实现。用户能够被分配到一个或多个组，而组的成员被赋予了一系列的GrantedAuthority声明。

 正如在图中所描述的那样，中间的隔离层使得我们可以将相同集合的角色分派给很多人，而这只需要指定新用户到存在的组中即可。将这与我们之前的做法对比，在以前的做法是将GrantedAuthority直接分配给单个的用户。

 

这种将权限进行打包处理的方式可能在以下的场景中用到：

 

 

l  要将用户分成不同的组，而组之间有些角色是重叠的；

l  想要全局地修改一类用户的权限。如，如果你拥有一个“供应商”的分组，而你想要修改他们能否访问应用特定区域的设置；

l  拥有大量的用户，你不需要用户级别的授权配置。

 

除非你的应用用户量很有限，否则很可能要使用基于组的访问控制。这种管理方式的简便性和扩展性带来的价值远远超过了它稍微增加的复杂性。这种将用户权限集中到组中的技术通常叫做基于组的访问控制（Group-Based Access Control ，GBAC）。

【基于组的访问控制几乎在市面上任何安全的操作系统和软件包中都能看到。微软的活动目录（Active Directory，AD)是大范围使用GBAC的典型实现，它把AD的用户纳入组中并给组授权权限。通过使用GBAC，能够指数级得简化对大量基于AD组织的权限管理。想一下你所使用软件的安全功能——用户、分组以及权限是如何管理的？这种方式编写安全功能的利弊是什么？】

 

让我们对JBCP Pets添加一层抽象，并将基于组的授权理念应用于这个站点。

配置基于组的授权

我们会为站点添加两个组——普通用户（我们将其称为“Users”）和管理员（我们将其称为“Administrators”）。通过修改用于启动数据库的SQL脚本，将已经存在的guest和admin账号分配到合适的组中。

配置JdbcDaoImpl以使用用户组

首先，我们需要为JdbcDaoImpl的自定义实现类设置属性以启用组的功能，并关闭对用户直接授权的功能。在dogstore-base.xml中添加如下的bean声明：

 

<bean id="jdbcUserService" 
      class="com.packtpub.springsecurity.security.CustomJdbcDaoImpl">
  <property name="dataSource" ref="dataSource"/>
  <property name="enableGroups" value="true"/>
  <property name="enableAuthorities" value="false"/>
</bean>

 注意的是，如果你一直跟着我们的例子在做，并且使用了JdbcUserManager的代码和配置，请对其进行修改，因为在本章的剩余部分我们将使用CustomJdbcDaoImpl。

修改初始载入的SQL脚本

我们需要简单修改构建数据库的SQL语句：

l  定义我们的组信息；

l  指定GrantedAuthority声明到组中；

l  指定用户到组中。

 

简单起见，我们声明一个名为test-users-groups-data.sql的新SQL脚本。

首先，添加组：

 

insert into groups(group_name) values ('Users');
insert into groups(group_name) values ('Administrators');

 

接下来，指定角色到组中：

 

insert into group_authorities(group_id, authority) select id,'ROLE_
USER' from groups where group_name='Users';
insert into group_authorities(group_id, authority) select id,'ROLE_
USER' from groups where group_name='Administrators';
insert into group_authorities(group_id, authority) select id,'ROLE_
ADMIN' from groups where group_name='Administrators';

 接下来，创建用户：

 

insert into users(username, password, enabled) values 
('admin','admin',true);
insert into users(username, password, enabled) values 
('guest','guest',true);

 最后，指定用户到组中：

 

insert into group_members(group_id, username) select id,'guest' from 
groups where group_name='Users';
insert into group_members(group_id, username) select id,'admin' from 
groups where group_name='Administrators';

 

修改嵌入式的数据库创建声明

我们需要更新嵌入式HSQL数据库的创建配置指向这个脚本，而不是已经存在的test-data.sql脚本：

 

<jdbc:embedded-database id="dataSource" type="HSQL">
  <jdbc:script location="classpath:security-schema.sql"/>
  <jdbc:script location="classpath:test-users-groups-data.sql"/>
</jdbc:embedded-database>

 要注意的是，security-schema.sql脚本已经包含了支持组功能的表声明，所以我们不需要修改这个脚本了。

 

到这里，你可以重启JBCP Pets站点，它将与以前的表现完全一致，但是，我们在用户和权限间添加的抽象层使得我们能够更容易地开发开发复杂的用户管理功能。

 

让我们暂时离开JBCP Pets的场景，了解在这个方面上一个更为重要的配置。

使用遗留的或用户自定义的schame实现基于数据库的认证

通常来说，Spring Security的新用户可能需要适配用户、组和角色到已有的数据库schema中。尽管遗留的数据库并不匹配Spring Security要求的数据库schema，但我们还是可以通过配置JdbcDaoImpl来匹配它。

假设我们拥有一个如下图所示的遗留数据库schema，要基于它实现Spring Security：

 我们能够很容易地修改JdbcDaoImpl的配置来使用这个schema并重写我们在JBCP Pets中使用的默认Spring Security表定义和列。

确定正确的JDBC SQL查询

JdbcDaoImpl有三个SQL查询，它们有定义良好的参数和返回列的集合。我们必须机遇它们提供的功能，确定每个查询的SQL。JdbcDaoImpl的每个SQL查询都是使用登录时提供的用户名作为唯一的参数。

查询名	描述	期望得到的SQL列
usersByUsernameQuery	返回匹配用户名的一个或更多的用户。只有返回的第一个用户被使用。	Username (string) Password (string) Enabled (Boolean)
authoritiesByUsernameQuery	返回用户被直接授予的权限。一般在GBAC禁用时，被使用。	Username (string) Granted Authority (string)
groupAuthoritiesByUsernameQuery	返回用户作为组成员被授予的权限和组的详细信息。在GBAC功能启用时，被使用。	Group Primary Key (any) Group Name (any) Granted Authority (string)

要注意的是，在一些场景中返回的列在默认的JdbcDaoImpl实现中并没有用到，但我们依旧需要将这些值返回。在进入下一章节前，请花费一点时间尝试写一下基于前面数据库图表中的查询语句。

配置JdbcDaoImpl来使用自定义的SQL查询

给不规范的数据库使用自定义SQL查询，我们需要在Spring Bean的配置文件中修改JdbcDaoImpl的属性。要注意的一点是，为了给JdbcDaoImpl配置JDBC查询，我们不能使用<jdbc-user-service>声明。必要要明确实例化这个bean，如同我们在自定义JdbcDaoImpl实现时所作的那样：

 

<bean id="jdbcUserService" 
      class="com.packtpub.springsecurity.security.CustomJdbcDaoImpl">
  <property name="dataSource" ref="dataSource"/>
  <property name="enableGroups" value="true"/>
  <property name="enableAuthorities" value="false"/>
  <property name="usersByUsernameQuery">
    <value>SELECT LOGIN, PASSWORD, 
           1 FROM USER_INFO WHERE LOGIN = ? 
    </value>
  </property>
  <property name="groupAuthoritiesByUsernameQuery">
    <value>SELECT G.GROUP_ID, G.GROUP_NAME, P.NAME 
      FROM USER_INFO U
      JOIN USER_GROUP UG on U.USER_INFO_ID = UG.USER_INFO_ID
      JOIN GROUP G ON UG.GROUP_ID = G.GROUP_ID
      JOIN GROUP_PERMISSION GP ON G.GROUP_ID = GP.GROUP_ID
      JOIN PERMISSION P ON GP.PERMISSION_ID = P.PERMISSION_ID
      WHERE U.LOGIN = ? 
    </value>
  </property>
</bean>

 这是Spring Security从已存在且不符合默认schema的数据库中读取设置时，唯一需要配置的地方。需要记住的是，在使用已存在的schema时，通常会需要扩展JdbcDaoImpl以支持修改密码、重命名用户账号以及其他的用户管理功能。

 

如果你使用JdbcUserDetailsManager来完成用户管理的任务，这个类使用了大约20个可配置的SQL查询。请参考Javadoc或源码来了解JdbcUserDetailsManager使用的默认查询。