摘要：
Acegi安全概念Acegi安全是一个基于J2EE的企业软件应用程序，提供全面的安全服务。AcegiSecurity和SpringSecurity是一回事吗？Acegi Security框架基于spring框架。后来，它成为spring的子项目，经过改进后更名为springsecurity。尽管springsecurity是从acegisecurity发展而来的，但它确实是两个框架。当然，它们之间有许多类似原理的配置。事实上，acegi将从后台获得的UserDetails转换为Authentication对象，并将其存储在SecurityContext对象中。acegiFilter简介：acegisecurity框架主要使用Filter作为实现身份验证和授权功能的桥梁。
Acegi Security概念
Acegi Security是基于J2EE的企业软件应用提供全面的安全服务。通俗的说，就是封装的安全框架。提到安全，大家脑子中第一反应肯定是权限控制。的确如此，安全主要的功能就是为了权限控制。
Acegi Security 和Spring Security 是一回事吗?为啥搜索Acegi Security框架，有时会发现一会这样配置，一会那样配置？开始以为是版本问题，回来翻阅了几个版本后，发现还真不是你你想像的那样。实际上Acegi Security和Spring Security是两个框架，怎么说呢？
Acegi Security框架是基于spring framework，后来成为spring一个子项目，经过完善，更名为spring security。虽然spring security是在acegi security 发展而来，但是的确是两种框架，当然他们之间也有很多相似原理的配置。
Acegi相对于现在来说，已经是古老的框架。很多公司几乎很少在用，若为了实现安全服务，一般都在用spring security框架，毕竟acegi不更新了哈，不更新，意思遇到问题，会很费周折的，就如目前xp系统从开始宣布停止打补丁，估计会有相应一批人都直接去营业厅去取款而非ATM机【ATM机风险造谣与否 与本人无关哈!】
当初研究这个acegi框架，纯属误打误撞。为了解决无权限问题，一直怀疑封装的jar问题，就这样研究了几天，最后并不是此acegi框架bug，不过也是因为acegi框架发现此问题，后续会有详细解说。
Acegi Security功能总括
上文说到，acegi security是安全框架，无论acegi security，任何安全框架，无非主要两个功能：认证和授权
认证主要如下：
• HTTP BASIC authentication headers (an IEFT RFC-based standard)• HTTP Digest authentication headers (an IEFT RFC-based standard)• HTTP X.509 client certificate exchange (an IEFT RFC-based standard)• LDAP (a very common approach to cross-platform authentication needs, especially in large environments)• Form-based authentication (for simple user interface needs)• Computer Associates Siteminder• JA-SIG Central Authentication Service (otherwise known as CAS, which is a popular open source single sign on system)• Transparent authentication context propagation for Remote Method Invocation (RMI) and HttpInvoker (a Spring remoting protocol)• Automatic "remember-me" authentication (so you can tick a box to avoid re-authentication for a predetermined period of time)• Anonymous authentication (allowing every call to automatically assume a particular security identity)• Run-as authentication (which is useful if one call should proceed with a different security identity)• Java Authentication and Authorization Service (JAAS)• Container integration with JBoss, Jetty, Resin and Tomcat (so you can still use Container Manager Authentication if desired)
如果其中的认证还不能满足需求，当然这个可以自己写个认证
授权主要如下:
授权web请求【URL资源的访问控制】、授权方法【业务类方法的访问控制】、授权单个领域对象【领域对象的访问控制 】
URL资源的访问控制：针对url是否有权限访问，当然acegi框架可以使用正则或Ant来匹配url，比如：/index.jsp需要ROLE_LOGIN权限 、 /*action需要ROLE_ADMIN权限。这是粗粒度控制，也是最简单最不安全控制。
业务类方法的访问控制：对于类的方法、比如addUser、deleteUser方法。spring类的方法都可以被acegi来管理。这属于细粒度权限控制。原来我们是如何实现呢？使用jstl标签 if(){}else{}
领域对象的访问控制:主要针对第二种类方法所属的对象。比如登陆CSDN论坛，只可以操作自己帖子，而非别人的帖子。
至于使用那种方式，主要针对需求而言。
Acegi Security主要组件
分析源码，你会发现中心组件：SecurityContextHolder，一看就是个容器，存放Security Context，Security Context存放用户权限信息，知道这点就掌握了核心。
还有关键的认证，主要通过authenticationManager【认证管理器】，但是认证管理器都是委托给多个Provider是具体来认证，比如：daoAuthenticationProvider【从数据库读取身份信息】
还有关键的授权，主要通过accessDecisionManager【访问控制管理器】，主要通过投票机制decisionVoters来投票授权，若投票成功，则授权成功即有权限；若投票失败，则授权失败即没有权限。
另外还有一个重要的封装身份信息UserDetails、其中UserDetailsService是从读取用户信息的接口，大家可以实现自己的UserDetails【后续会介绍】。
上图中SecurityContext存放的身份信息，不是UserDetails，而是Authentication对象。实际上是acegi把从后台获取的UserDetails转化成Authentication对象，然后存放到SecurityContext对象中。
acegiFilter介绍：
acegi security框架主要通过Filter为桥梁达到认证和授权的功能。
多个Filter执行是靠过滤连顺序执行的，但是访问时不是直接通过真正的Filter，而是通过Filter Proxy代理类来访问具体的Filter。
常用的Filter以及顺序如下：
ChannelProcessingFilter：重定向到另一种协议。
ConcurrentSessionFilter ：因为不使用任何SecurityContextHolder的功能，但是需要更新SessionRegistry来表示当前的发送请求的认证信息。
HttpSessionContextIntegrationFilter：sessionFilter，把securityContext放到session中，以备下次再访问，其实就是为了保存权限对象。
Authentication processing mechanisms：因为Filter有顺序的，这个对象时包括很多同级Filter，比如鲫鱼表单的认证AuthenticationProcessingFilter，基于Basic弹框认证BasicProcessingFilter，基于Cas认证CasProcessingFilter主要是通过认证管理器获取权限对象存放到securityContextHolder中。
AnonymousProcessingFilter：匿名处理fiter,如果没有响应的权限对象，则会存放一个匿名权限对象。
ExceptionTranslationFilter：异常filter，捕获异常的，比如出现无权限或未登陆错误。
FilterSecurityInterceptor：主要在转向url时，进行授权操作，通过安全访问控制器调用投票机制进行授权。
Acegi权限控制的主要流程：
上图不是特别特别详细，不过已经涵盖了主要的流程思路。
当访问url时,根据配置，acegi进行控制。acegi控制流程是通过过滤连形式，首先session判断是否有securitycontext中，若有就把securitycontex权限对象存放到securitycontext中，若没有就securitycontext生成一个new securitycontext。然后进入N个过滤器，对url进行认证，读取用户权限放入securitycontext中；认证阶段认证后，进入访问控制管理器，根据配置投票器来进行授权，判断是否有权限访问其受保护资源。
转账，侵删