2.4. 安全對象

如果你熟悉AOP，你會知道有很多種advice可用：before, after, throws 和 around。around advice非常有用，因為它能夠選擇是否選擇是否執(zhí)行一個方法調(diào)用，是否修改返回值，以及是否拋出異常。Acegi Security對方法調(diào)用和web請求都提供around advice。我們使用AOP聯(lián)盟實現(xiàn)對方法調(diào)用的around advice，對于web請求的around advice則是使用標(biāo)準(zhǔn)的過濾器（Filter）。

對于那些不熟悉AOP的人來說，關(guān)鍵是要理解Acegi Security能夠幫助你保護(hù)方法調(diào)用以及web請求。大多數(shù)人對保護(hù)他們服務(wù)層的方法調(diào)用感興趣。這是因為在當(dāng)前的J2EE應(yīng)用中，服務(wù)層包含了大多數(shù)的業(yè)務(wù)邏輯（聲明，作者不贊成這種設(shè)計，反而支持正確封裝的領(lǐng)域模型以及DTO，assembly, facade 以及 transparent persistence patterns，而不是當(dāng)前主流的貧血模型，我們將在這里討論）。如果你需要保護(hù)service層的方法調(diào)用，使用標(biāo)準(zhǔn)的Spring AOP平臺（或者被成為AOP 聯(lián)盟（AOP Alliance））就足夠了。如果你需要直接對領(lǐng)域模型進(jìn)行保護(hù)，那么可以考慮使用AspectJ。

你可以選擇對使用AspectJ 或者AOP聯(lián)盟（AOP Alliance）對方法進(jìn)行授權(quán)，或者你可以選擇使用過濾器（filter）來對web請求進(jìn)行授權(quán)。你將0個，1個，2個或者3個這些方法一起使用。主流的用法是執(zhí)行一些web請求授權(quán)，以及在服務(wù)層使用AOP聯(lián)盟（AOP Alliance）對一些方法調(diào)用授權(quán)。

Acegi Security使用“安全對象”（secure object）這個詞來指任何能夠?qū)�安全�?yīng)用于其上的對象。每個Acegi Security支持的安全對象都有自己的類，它是AbstractSecurityInterceptor的子類。重要的一點是，如果一個principal通過認(rèn)證，當(dāng)AbstractSecurityInterceptor執(zhí)行的時候，SecurityContextHolder中要包含一個有效的Authentication。

AbstractSecurityInterceptor提供一個固定的工作流程來處理安全對象請求。這個工作流程包括查找和當(dāng)前請求相關(guān)聯(lián)的“配置屬性（configuration attributes）”。配置屬性（configuration attributes）可以被認(rèn)為是對被AbstractSecurityInterceptor使用的類有特殊含義的字符串。他們通常針對AbstractSecurityInterceptor使用XML進(jìn)行配置。反正，AbstractSecurityInterceptor會詢問AccessDecisionManager “這是配置屬性（configuration attributes），這是當(dāng)前的認(rèn)證對象（Authentication object），這是當(dāng)前請求的詳細(xì)信息－那么這個特定的principal可以執(zhí)行這個特定的操作嗎？”。

假如AccessDecisionManager判定允許這個請求，那么AbstractSecurityInterceptor一般來說就繼續(xù)執(zhí)行請求。雖然這樣，用戶在少數(shù)情況之下可能需要替換SecurityContext中的Authentication，可以通過AccessDecisionManager調(diào)用一個RunAsManager來實現(xiàn)。在某些不常見的情形下這將非常有用，例如服務(wù)層的方法需要用另一種標(biāo)識（身份）來調(diào)用遠(yuǎn)程系統(tǒng)。這可能有所幫助，因為Acegi Security自動在不同的服務(wù)器之間傳播安全標(biāo)識（假設(shè)你正確配置了RMI或者HttpInvoker remoting protocol client）。

隨著安全對象處理和返回－意味著方法調(diào)用完畢或者過濾器鏈（filter chain）處理完畢－AbstractSecurityInterceptor有最后的機(jī)會來處理調(diào)用。這時，AbstractSecurityInterceptor可能會修改返回的對象。我們可能要這樣做，因為授權(quán)判斷不能在安全對象調(diào)用途中執(zhí)行。由于高度的可插拔性，如果需要AfterInvocationManager將控制權(quán)交給AfterInvocationManager來實際修改對象。這個類甚至可以徹底替換對象，或者拋出異常，或者根本不修改它。

因為是AbstractSecurityInterceptor中心模版類，看起來第一副插圖該獻(xiàn)給它。（譯注：原手冊里的圖畫的太丑陋了，我用jude重新畫了一遍）

<!--[if !vml]--><!--[endif]-->

圖1 關(guān)鍵“安全對象”模型

只有那些希望實現(xiàn)全新的對請求進(jìn)行截取截取和授權(quán)方式的開發(fā)者才需要直接使用安全對象。例如，可能構(gòu)建一個新的安全對象安全調(diào)用一個消息系統(tǒng)。任何需要安全并且能夠提供一種截取調(diào)用的方式(例如AOP around advice semantics)的東西都可以成為安全對象。雖然如此，大部分的Spring應(yīng)用都會只是透明應(yīng)用當(dāng)前支持的三種安全對象類型（AOP Alliance MethodInvocation, AspectJ JoinPoint 和 web request FilterInterceptor）。

2.5. 結(jié)論

恭喜！你已經(jīng)獲取了Acegi Security足夠的概括性的圖景來開始著手你的項目。我們探究了共享組件，認(rèn)證過程，以及對“安全對象”的通用授權(quán)概念。手冊中的余下部分你可能用到也可能用不到，可以按照任意順序閱讀。