Spring Securityの機能について

Spring Securityの機能について簡単に見ていきましょう。

SpringSecurityは、認証と認可の機能を提供してくれます。

WEBが分かりやすいと思いますが、一般的なWEBは、IDとパスワードを入力して両方とも合っていればログインできると思います。

この処理を認証と呼んでいて、さらに認証できた人に対してある画面を見せるか見せないか、という閲覧権限の機能も存在します。

これを認可と言います。

SpringSecurityでは両方ともを設定ファイルのみで実装できます。

かなりパワフルな機能です。

しかも、拡張して独自の機能をつけることもできます。

また、WEBだけでなく普通のJavaアプリケーションに対しても認証と認可の機能を実装できるようです。

【機能の実際】

ここでは、SpringSecurityのWEBの認証と認可の処理がどのような機能なのかを簡単に見てみましょう！

項目	概要
ログイン方法	一般的な認証と同様、ログイン画面からID/PWを入力してWEBに入ります。
ログアウト方法	指定のURLにアクセスするとログアウトします。このとき、セッションの情報を保持しておくこともできるようです。これにより、次回ログイン画面を開いたときに、最後にアクセスしたユーザのIDを表示することもできるようです。
認証が必要な画面にログインせずにアクセスした場合	ログイン画面に強制的に遷移させられます。その後、ログインに成功すると最初にアクセスしようとした画面を表示します。ログイン後、常に指定の画面を表示するようにすることもできます。
権限ロール	権限ロールがあり、自由に追加できます。 SpringSecurityでは、権限ロール自体に何か意味があるのではなく、グループを分けるグループ名くらいの意味しかありません。ただし、予約名が存在し、それは意味が決まっています。良く使う予約名には以下のものがあります。 IS_AUTHENTICATED_FULLY ・・・認証されたユーザすべて IS_AUTHENTICATED_ANONYMOUSLY ・・・認証されたユーザと認証されていないユーザすべて
認可の方法	WEBのパス名に対して認可をします。（リクエストパラメタに対して行う方法もあるようですがここでは説明しません。）設定イメージは、以下のようになります。【設定イメージ】 /secure/sys*　⇒　ROLE_ADMIN /secure/*　⇒　ROLE_ADMIN,ROLE_USER /**　⇒　IS_AUTHENTICATED_ANONYMOUSLY 【意味】設定の順番には意味があります。上から順番にURLを見ていき、最初に引っかかったところでロールのチェックをします。では、上記の例の場合を見てみましょう。 ----------------------------- /secure/の下の頭に"sys"が付くURLに対しては、ROLE_ADMINというグループに閲覧を許します。上記以外の、/secure/直下のURLに対しては、ROLE_ADMIN と ROLE_USERというグループに閲覧を許します。上記以外の、ドキュメントルート配下のURLに対しては、すべてのユーザに閲覧を許します。 ----------------------------- は、ワイルドカードで/以外の文字を表します。上記では、/security/sysTop.do や/security/sysRegist.doなどが対象になります。 *はディレクトリまで含めてすべてのワイルドカードです。上記では、/A/include/main.css や /login.html などが対象になります。
組み込み方法	SpringSecurityは、どうやって機能を実現しているのでしょうか？実は、SpringSecurityはtomcatのフィルター機能なのです。ですので、Servletを実装するときに、何か特殊なクラスを継承しないといけないとか、必ず何かのメソッドを呼ばないといけないなどの制約を受けません。 Strutsを使っても、SpringMVCを使ってもかまいません！