org.springframework.security.web.session.HttpSessionEventPublisher

springSecurityFilterChain

org.springframework.web.filter.DelegatingFilterProxy

springSecurityFilterChain

``` ##### (2) applicationContext.xml 不要把下面这一段配置放到SpringMVC对应的xml当中，必须放置到Spring Bean的xml当中。 ```xml //导入ss-client中的Spring配置文件 //定义自身域编码，和Uniauth的zookper（有domains.前缀），TechOps中的域定义保持一致 //定义UserDetails扩展属性类，该类从UserExtInfo扩展，如果不需要则可以不配置 //如果设置成true，则如果当前请求的url没有找到任何匹配的url定义，就会拒绝访问 //如果设置成true，需要去掉，因为这条定义是涵盖任何url的默认定义 //在访问业务域的某个url时，如果session失效或从未登录过，这个url地址会被业务域服务器记下来，然后转向到cas登录页； //登录成功后会再转向回来到这个url，如果需要复写这个url，则在此处定制，如果不做定制默认就是转向先前记下的url地址 //某些url资源不需要被Spring Security保护

//随需定制自己的403 Forbidden页

// 重要：如果你的系统基于url_pattern进行权限判断，应尽可能地将需要保护的url进行分解和登记， //否则就会退而求其次地选用这条规则，因为这条定义是涵盖任何url的默认定义，即登录用户能访问所有url。

``` ##### (3) 获取当前登录用户可以通过调用UniClientCommonService这个Spring Bean类的getLoginUserInfo()方法获取当前登录用户对象 ```java SecurityContextHolder.getContext().getAuthentication().getPrincipal(); ``` #### 5.1.1.2 Spring Boot接入如果集成的系统使用的是Spring Boot,还需要在5.1.1.1 非Spring Boot系统集成的方式上做一些修改. ##### (1) 将Uniauth的xml配置导入到集成系统的xml配置中。 ```xml

``` 说明：该配置相对于原来的配置方式，主要是将filter的配置以及spring security的配置给删掉了。 ##### (2) 集成系统引入Uniauth的Spring Security代码配置,继承Uniauth提供的Spring Security父类 UniauthSecurityConfig. 比如在demo springboot-ssclient中的配置如下： ```java @Configuration public class WebSecurityConfiguration extends UniauthSecurityConfig { @Override public void configure(WebSecurity web) throws Exception { web.ignoring().antMatchers("/js/**", "/favicon.ico"); } } ``` 说明：在覆写父类的 protected void configure(HttpSecurity http) throws Exception方法进行security的自定义配置时,不要忘记调用super.configure(HttpSecurity http) ; ### 5.2.非Spring系统 #### 5.2.1 与CAS集成 ##### (1) 引入Cas jar包 jar包：'org.jasig.cas.client:cas-client-core:3.4.1' ##### (2) 添加filter 说明：需要添加三个filter，SingleSignOutFilter（统一登出filter），AuthenticationFilter（统一认证），Cas20ProxyReceivingTicketValidationFilter（ticket验证filter）使用方式举例（以jetty内置服务器为例，其他tomcat容器的配置类似） ```java // first FilterHolder singleSignOutFilter = new FilterHolder(SingleSignOutFilter.class); singleSignOutFilter.setInitParameter("casServerUrlPrefix", "http://localhost:8080/cas"); // 配置cas的统一地址cas_server root.addFilter(singleSignOutFilter, "/*", Handler.DEFAULT); // second FilterHolder authenticationFilter = new FilterHolder(AuthenticationFilter.class); authenticationFilter.setInitParameter("casServerLoginUrl", "http://localhost:8080/cas/login"); // 配置cas的登陆页面： cas_server/login authenticationFilter.setInitParameter("gateway", Boolean.FALSE.toString()); // 默认采用false authenticationFilter.setInitParameter("service", "http://localhost:8120/login/cas"); // 配置业务系统的地址：custom_url/login/cas. 后缀/login/cas 必须要，为了与统一登陆页面兼容。 root.addFilter(authenticationFilter, "/*", Handler.DEFAULT); // third FilterHolder ticketValidationFilter = new FilterHolder(Cas20ProxyReceivingTicketValidationFilter.class); ticketValidationFilter.setInitParameter("service", "http://localhost:8120/login/cas"); // 配置业务系统的地址：custom_url/login/cas. 后缀/login/cas 必须要，为了与统一登陆页面兼容。如：https://passport-dev.dianrong.com ticketValidationFilter.setInitParameter("casServerUrlPrefix", "http://localhost:8080/cas"); // 配置cas的统一地址cas_server root.addFilter(ticketValidationFilter, "/*", Handler.DEFAULT); ``` 注意：可以注意到添加filter的顺序，SingleSignOutFilter -> AuthenticationFilter -> ticketValidationFilter #### 5.2.2经过上面的Filter后，可从session中获取登陆人Principal ```java Assertion assertion = （Assertion）session.getAttribute(AbstractCasFilter.CONST_CAS_ASSERTION)； AttributePrincipal principal = assertion.getPrincipal(); // principal中有登陆人的相关信息，邮箱，service等。 ``` 说明：其中CONST_CAS_ASSERTION为字符串“_const_cas_assertion_”，可以直接使用AbstractCasFilter.CONST_CAS_ASSERTION获取。 #### 5.2.3登陆用户信息获取 1. 首先通过第2.3步得到的AttributePrincipal对象 2. 获取principal的attribute属性,如：principal.getAttributes().get("tenancyid"),返回租户的id 3. call uniauth的api获取用户信息： ```java // 构造登陆参数 LoginParam loginParam = new LoginParam(); // 用户 emailloginParam.setAccount(userName); // 设置租户 idloginParam.setTenancyId(tenancyId);// 设置租户id（用于uniauth统计调用日志） CxfHeaderHolder.TENANCYID.set(tenancyId); Response response = uniClientFacade.getUserResource().getUserDetailInfo(loginParam);// 清空租户 idCxfHeaderHolder.TENANCYID.set(null); ``` ## 六. SDK使用 `common`模块针对`uniauth-server`提供的Rest API进行了客户端封装，客户系统引入`com.dianrong.common.uniauth.common.client.UniClientFacade`即可获取人员，组，域，角色，权限等信息，具体参[UniClientFacade](http://xxx/com/dianrong/common/uniauth/common/client/UniClientFacade.java)看如下： ```java public static void main(String args[]) { //这个构造函数中的字符串是uniauth-server的webservice endpoint UniClientFacade uniClientFacade = new UniClientFacade("http://localhost:8080/ws/rs"); System.out.println(uniClientFacade.getConfigResource().getAllCfgTypes().getData()); } ``` ## 七. 系统说明 ### 7.1 Uniauth内置的3种PermissionType说明 1. **URI_PATTERN**：效果和Spring Security配置文件中的``一样，主要用于Web形式的URL资源定义。可用于保护真实URL访问地址，或者用于``的标签中。需要尤其指明的是，如果你的多个role共享了一个role_code，则使用URL_PATTERN可能会有影响。注意：无论在Spring Security中还是在db中都可以定义url pattern的允许访问的http method，如GET，POST等等，如果不指定则该url默认支持所有类型的http method。比如在配置文件中：``在使用method定义时，这里面有一个注意点，就是Spring Security默认会优先比较请求的http method和定义中的是否匹配，如果不匹配则该条定义就直接被忽略掉了，哪怕url本身是匹配的。所以如果你要使用http method保护你的url，则应该把controller中需要受保护的url模式和可访问方法进行完整定义(在配置文件或db中)，这样才能起到应有的作用。 2. **DOMAIN**： TechOps使用的专有Permission Type，其他业务系统可以忽略此种类型的Permission。 3. **PRIVILEGE**：各个业务系统可以根据自己的需要定义权限控制点列表，这些权限用于保护任何需要保护的资源，比如通过SpEL表达式principal.hasPrivilege('xxx')。注意：不像` URI_PATTERN`，这种权限类型不参与Spring Security的内部权限控制机制，适用于纯业务级别权限控制点的定义。上述3种权限类型已经基本涵盖了大部分业务需要，如果不满足，可以和我们联系，双方讨论后可以依需添加新的权限类型。