这个Spring Security图是什么意思？

Question

我正在为获得Spring Core认证而学习，但是还有一些关于将Spring Security图表的含义与文档相关联的信息：

它解释了Spring Security项目的体系结构及其组件之间的交互，但是究竟是什么意思呢？

它显示了一个Authentication Manager组件，阅读了我发现它可以处理来自框架其他部分的身份验证请求的文档，因此我认为它提供了类似接口的界面，并带有一些执行身份验证操作的方法，该接口将被实现。由提供的特定身份验证（根据身份验证技术选择）

这意味着身份验证管理器将填充安全上下文 。 Spring中的“安全上下文”到底是什么？ 它是在“地方”存储与委托人有关的信息（例如，在Web应用程序上通过身份验证的用户）以及此委托人在受保护资源上的授权列表吗？ （例如，已登录的用户以及该用户可以在受保护的资源上执行哪些操作？）是正确的还是缺少什​​么？

然后，有一个安全拦截器 ，我认为它必须是一个代理类，它使用类似事前通知 AOP机制的某种方法来执行安全建议，而该通知机制需要特定的联合点。 联合点是对受保护资源的操作（例如，在受保护bean上执行的方法）。

看图片，我认为代理从包含主体（登录用户）及其授权（该登录用户可以进行哪些操作）的安全上下文中获取此信息，因此它可以创建之前建议以检查此操作。 是对的还是我错过了什么？

什么代表AccessDecision Manager组件？ 选民在图片中看到了什么？

TNX

Answer 1

• 安全上下文包含有关当前用户的安全信息（名称，登录名，特权...）。 它绑定到当前线程和会话https://stackoverflow.com/a/6408377/280244

• 当用户登录安全上下文时，身份验证管理器将放置（ 填充 ）有关用户的安全信息。

• 安全拦截器（方法或Http请求）将在调用调用受保护/受保护的资源之前对其进行拦截。 它从安全上下文中获取有关当前用户的信息。 可以通过某种配置（xml，注释等）获得允许调用的规则。 当前用户与所需规则匹配的决策将委派给访问决策管理器

• 访问决策管理器不自行执行目标规则，而是使用（不同的） 投票者对授予的访问，拒绝的访问（或弃权）进行投票。

@see： Spring安全性参考：第13章授权架构