Spring Security是一個(gè)能夠?yàn)榛赟pring的企業(yè)應(yīng)用系統(tǒng)提供聲明式的安全訪問(wèn)控制解決方案的安全框架。它提供了一組可以在Spring應(yīng)用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反轉(zhuǎn)Inversion of Control ,DI:Dependency Injection 依賴注入）和AOP（面向切面編程）功能。

Spring Security3的使用方法有4種：
一種是全部利用配置文件，將用戶、權(quán)限、資源(url)硬編碼在xml文件中。
二種是用戶和權(quán)限用數(shù)據(jù)庫(kù)存儲(chǔ)，而資源(url)和權(quán)限的對(duì)應(yīng)采用硬編碼配置。
三種是細(xì)分角色和權(quán)限，并將用戶、角色、權(quán)限和資源均采用數(shù)據(jù)庫(kù)存儲(chǔ)，并且自定義過(guò)濾器，代替原有的FilterSecurityInterceptor過(guò)濾器，并分別實(shí)現(xiàn)AccessDecisionManager、
InvocationSecurityMetadataSourceService和UserDetailsService，并在配置文件中進(jìn)行相應(yīng)配置。
四是修改spring security的源代碼，主要是修改InvocationSecurityMetadataSourceService和UserDetailsService兩個(gè)類。前者是將配置文件或數(shù)據(jù)庫(kù)中存儲(chǔ)的資源(url)提取出來(lái)加工成為url和權(quán)限列表的Map供Security使用，后者提取用戶名和權(quán)限組成一個(gè)完整的 (UserDetails)User對(duì)象，該對(duì)象可以提供用戶的詳細(xì)信息供AuthentationManager進(jìn)行認(rèn)證與授權(quán)使用。該方法理論上可行，但是比較暴力，不推薦使用。

本文有兩個(gè)例子，在簡(jiǎn)單例子章節(jié)實(shí)現(xiàn)了第一種方法。在復(fù)雜例子章節(jié)實(shí)現(xiàn)了第二種和第三種方法組合使用的例子。簡(jiǎn)單例子通俗易懂，不再贅述。復(fù)雜例子及其使用和擴(kuò)展，我將穿插詳細(xì)的配置注釋和講解，包括整個(gè)程序的執(zhí)行過(guò)程。