《Spring Security3》第二章第一部分翻译
?
第二章??Spring Security起步在本章中，我们将要学习SpringSecurity背后的核心理念，包括重要的术语和产品架构。我们将会关注配置Spring Security的一些方式以及对应用的作用。
最重要的是为了解决工作中的问题，我们要开始使得JBCP Pets的在线商店系统变得安全。我们将会通过分析和理解认证如何保护在线商店的适当区域来解决在第一章：一个不安全应用的剖析中审计人员发现的第一个问题，即缺少URL保护和统一的认证造成的权限扩散。
在本章的内容中，我们将会涉及：
l了解应用中安全的重要概念；
l使用Spring Security的快速配置功能，为JBCPPets在线商店实现基本层次的安全；
l理解SpringSecurity的全貌；
l探讨认证和授权的标准配置和选项；
l在SpringSecurity访问控制中使用Spring的表达式语言（Spring Expression Language）
?
安全的核心概念l? 凭据为基础的认证：当你登录e-mail账号时，你可能提供你的用户名和密码。E-mail的提供商会将你的用户名与数据中的记录进行匹配，并验证你提供的密码与对应的记录是不是匹配。这些凭证（用户名和密码，译者注）就是e-mail系统用来鉴别你是一个合法用户的。首先，我们将首先使用这种类型的认证来保护我们JBCP Pet在线商店的敏感区域。技术上来说，e-mail系统能够检查凭证信息不一定非要使用数据库而是各种方式，如一个企业级的目录服务器如Microsoft Active Directory。一些这种类型的集成方式将在本书的第二部分讲解。
l? 两要素认证：当你想从自动柜员机取钱的时候，你在被允许取钱和做其他业务前，你必须先插卡并输入你的密码。这种方式的认证与用户名和密码的认证方式很类似，与之不同的是用户名信息被编码到卡的磁条上了。联合使用物理磁卡和用户输入密码能是银行确认你可能有使用这个账号的权限。联合使用密码和物理设备（你的ATM卡）是一种普遍存在的两要素认证形式。专业来看，在安全领域，这种类型的设备在安全性要求高的系统中很常见，尤其是处理财务或个人识别信息时。硬件设备如RSA的SecurId联合使用了基于时间的硬件和服务端的认证软件，使得这样的环境极难被破坏。
l? 硬件认证：早上当你启动汽车时，你插入钥匙并打火。尽管和其他的两个例子很类似，但是你的钥匙和打火装置的匹配是一种硬件认证的方式。
?
你可能想象的出对一个安全实体的权限检查过程，查找它的用户账号并确定它是不是真的为一个管理员。如果权限检查确定这个试图访问受保护区区域的安全实体实际上是管理员，那么这个请求将会成功，否则，这个安全实体的请求将会因为它缺少足够的权限而被拒绝。
我们更近距离的看一个特定的受保护资源——产品目录的编辑界面。目录的编辑界面需要管理员才能访问（毕竟，我们不希望普通的用户能够调整我们的目录层次），因此当一个安全实体访问它的时候会要求特定等级的权限。
当我们思考一个网站的管理员试图访问受保护的资源时，权限控制决定是如何做出的时候，我们猜想对受保护资源的权限的检查过程可以用集合理论很简明的进行表述。我们将会使用维恩图来展现对管理用户的这个决策过程：
?
<!--[endif]-->
对这个页面来说，在用户权限（普通用户和管理员）和需要权限（管理员）之间有一个交集，所以在交集中的用户将能够进行访问。
可以与没有授权的访问者进行对比：
?
权限集合没有交集，没有公共的元素。所以，用户将会被拒绝访问这个界面。至此，我们已经介绍了对资源授权的简单原理。
?
实际上，会有真正的代码来决定用户是允许还是被拒绝访问受保护的资源。下面的图片在整体上描述了这个过程，正如Spring Security所使用的那样：
?
?
我们可以看到，有一个名为访问决策管理器（accessdecision manager）的组件来负责决定一个安全实体是不是有适当的访问权限，判断基于安全实体具备的权限与被请求资源所要求资源的匹配情况。
安全访问控制器对访问是否被允许的判断过程可能会很简单，就像查看安全实体所拥有的权限集合与被访问资源所要求的资源集合是不是有交集。
让我们在JBCP Pets应用中简单使用SpringSecurity，并将会更详细的阐述认证和授权。
?
