BlogJava--随笔分类-权限,安全

oauth协议

leekiang — Thu, 18 Nov 2010 06:12:00 GMT

   第三方应用通过以下四个步骤来完成认证授权并访问或修改受限资源
   1. 获取未授权的Request Token
   2. 请求用户授权Request Token
   3. 使用授权后的Request Token换取Access Token
   4. 使用 Access Token 访问或修改受保护资源

   http://www.williamlong.info/archives/2185.html
   http://www.douban.com/service/apidoc/auth
   http://haolloyin.blog.51cto.com/1177454/412445
   http://haolloyin.blog.51cto.com/1177454/410776
   http://blog.csdn.net/hereweare2009/archive/2009/03/08/3968582.aspx
   http://tools.ietf.org/html/rfc5849

leekiang 2010-11-18 14:12 发表评论

grails权限，Shiro等

leekiang — Sat, 22 May 2010 16:34:00 GMT

http://www.ibm.com/developerworks/cn/opensource/os-cn-shiro/index.html
grails-spring-security-core

leekiang 2010-05-23 00:34 发表评论

spring security笔记

leekiang — Mon, 02 Feb 2009 19:29:00 GMT

1,FilterSecurityInterceptor的objectDefinitionSource定义的是url与角色的关系，既可以在xml里写死，也可以自定义一个FilterInvocationDefinitionSource，实现其public ConfigAttributeDefinition getAttributes(Object filter)方法。这个关系好像也可以定义在FilterChainProxy的filterInvocationDefinitionSource
http://www.javaeye.com/topic/113436
http://www.blogjava.net/redhatlinux/archive/2008/09/01/226010.html
http://www.webasp.net/article/29/28097_print.htm

定义好角色与url的关系，同时告诉acegi该用户拥有的角色，那么acegi会根据投票规则去验证是否有权限。

2，必须要设置httpSessionContextIntegrationFilter，否则就会报
org.springframework.security.AuthenticationCredentialsNotFoundException: An Authentication object was not found in the SecurityContext

3,
其实所有的权限问题最终可以总结为: 当前的登陆用户是谁，他拥有那些资源，
他现在所访问的资源是否与与其匹配。这个就是最基本的用户-资源后来因用户和资源经常性变化，
单一的用户资源模型会导致经常性维护的麻烦，所以人们加入了角色一层，以方便更好的管理，
这就是用户-角色-资源(RBAC)模型。随着系统的不断增大，用户和资源越来越多，
根据不同的项目的需要，人们又按需开发了不少模型，如用户-角色-权限-资源模型,
用户-角色-角色组-权限-资源模型，用户-角色-角色组-权限-操作-资源模型等，
其实无论中间加入多少层，如何扩展，也都是万变不离其宗：用户-资源。

4，
手册 http://family168.com/oa/springsecurity/html/

http://www.javaeye.com/topic/17896

leekiang 2009-02-03 03:29 发表评论

权限相关

leekiang — Mon, 17 Mar 2008 16:30:00 GMT

http://www.blogjava.net/RongHao/archive/2006/08/29/66389.html
http://www.blogjava.net/RongHao/category/20773.html
一个基于RBAC模型的通用权限管理系统的域模型类图http://www.javaeye.com/topic/176508
http://blog.csdn.net/gisfarmer/archive/2009/01/22/3849659.aspx

五一巨献：OAuth Actionscript3 Class Library

Apache Shiro Integration for Grails

其实，你把Acegi的Role理解为Permission就好了。然后在此之上建立自己的Business Role/Group，那么关系就会变成：
User(1) <-> Role/Group(n) 用户与角色1对多
Role/Group(1) <-> Permission/Acegi Role(n) 角色与权限1对多。
这样就重新回到传统的RBAC模型了。
总之，不要局限于Acegi的“Role”这个词了，把它就看成Permission，你会豁然开朗！
见http://groups.google.com.hk/group/grailsunion/browse_thread/thread/6cf3ae5f5f0a7256#

leekiang 2008-03-18 00:30 发表评论