Spring Security 3: Full ACL Tutorial (Part 1)
In this tutorial we'll develop a simple Bulletin application where various users can create, add, edit, and delete posts depending on their access levels. Our application is a simple CRUD system that utilizes an Access Control List (ACL) to secure domain objects. The corresponding permissions will be retrieved from an external MySQL database. There's a separate database for the Bulletin posts and
Simple web application with Spring Security: Part 11
In this part we are going to add the the Access Control List (ACL) part of spring security so we can add security down to the domain object level. Add dependencies to lib folder spring-security-acl-2.0.4.jar echcache-1.4.1.jar backport-util-concurrent-3.1.jar jsr107cache-1.0.jar All of these are available in the lib folder of the deploy spring security example for contacts. Create ACL Schema and D
自社の社内SNSでIPA ISEC セキュア・プログラミング講座：Webアプリケーション編 第2章 アクセス制限対策：ユーザー認証対策が話題になっていたので、Spring Securityを利用している場合に更にアプリケーション側でセキュリティを強化する場合にどうやるのがベターなのか考えてみます。 まずIPAのページでは以下の内容について言及しています。 常にユーザIDとパスワードを求める アカウントのロックアウト パスワードフィルタ パスワードの有効期限 ランダム化桁とチェック桁 ログインエラーメッセージ パスワードリマインダの慎重な設定 パスワード再設定と再発行手順 管理者権限の制限 これらのうち、Spring Securityでカバーできそうなのはアカウントのロックアウトくらいでしょうか。また、最近ではパスワードにSaltを追加するのは必須と言われているようなので、まずはこれら2つに
原文(投稿日：2011/12/29)へのリンク SpringSourceは、2009年12月23日のSpring Security 3.0.0(現在はメンテナンスリリース3.0.7)以来のメジャーリリースとなる、Spring Security 3.1.0をリリースした。以下はSpring Security 3.1.0の新機能である。 複数のhttp要素異なるリクエストパターン用に異なるセキュリティフィルタチェインを定義できるよう、複数のhttp要素を作ることができるようになった。http要素のpattern属性が指定されていなければ、全てのリクエストパターンにマッチする。より強力なマッチングを実現できる、request-matcher属性もサポートされ続ける。これは主に、ひとつのアプリケーションでステートフルなURLとステートレスなURLを両方サポートするようなケース(例えば、Webアプリ
Spring Framework Advent Calendar の 5 日目です。今日は Spring Security の話です。なんだか Spring MVC と Spring Security の話ばかりしているような気がしますが、あまり気にしないことにします。 セッションタイムアウト時の画面遷移 ログインが必要なWebアプリケーションの開発をしていると、たいていの場合、 未ログインの時とセッションタイムアウトした時で、遷移するページを分けたい セッションタイムアウト時の遷移先は未ログイン時と同じで良いが、タイムアウトした旨のメッセージを表示したい といった要望を受けます。 Spring Security のデフォルトの動作は、セッションタイムアウトを特別扱いはしていませんから、ログインしていない状態でのアクセスと同じように画面遷移します。この挙動を変更したい場合はどのようにすれば
Spring Framework Advent Calendar の 7 日目です。今日はふたたび Spring Security の話です。小出しにしているような感もありますが、気にせずいきましょう。 以前 Spring Security でアカウントロック機構を実現する - 倖せの迷う森 にて、Spring Security では認証の成功や失敗に対応するイベントハンドラがあり、それらのイベントに対応する Listener を書いて Bean 登録しておけば自動的にそれが呼び出される、という話をしました。 さて、あなたが現在作成中の Web システムにこのような認証に関する要件が与えられたとします。 認証はIDとパスワードで行う パスワードには有効期限がある 有効期限を過ぎたパスワードでログインした場合、パスワード強制変更画面に飛ばす 以前紹介した ApplicationListene
Spring Framework Advent Calendar の 2 日目です。本日は FilterChainProxy についてです。 Spring Framework を使っていると、協調する各プロダクトの設定ファイルを Spring の設定ファイルに統合したくなることでしょう。今回は、いつも web.xml に記述しているであろう ServletFilter の設定を Spring に移管する方法を紹介します。以前にも SpringFramework と Velocity の統合 - 倖せの迷う森 にて、Velocity の設定情報を Spring に統合する手法を紹介しました。 Spring Security には FilterChainProxy というクラスがあり、これを使用すると、サーブレットコンテナの FilterChain と同じような動作をさせることができます。こう
アカウントロック機構は、パスワード認証をともなうWebアプリケーションの開発ではしばしばセキュリティ要件として盛り込まれることがあります。また、Webサービスのユーザーとしても馴染みのある機能のひとつでしょう。今日は、この機能を Spring Security の認証の枠組みの中で実現する方法について紹介します。なお、本記事は Spring Security 3.0.4 をベースに書かれています。 いきなりですが、 Spring Security では、アカウントロック機構は提供されていません。アカウントをロックするのは認証サービスが行うべきことであり、認証サービスとアプリケーションをつなぐためのフレームワークである Spring Security には、そのような義務はありません。また、アカウントロックの実現方式についても、認証サービスに強く依存します。ですので、アプリケーションへの要求
In 2014, we announced the retirement of our legacy forum, forum.spring.io, in favor of providing an improved community experience on stackoverflow.com. As part of that announcement, we put our forum into read-only mode, preserving forum posts that were referenced in various Spring issue trackers. On February 28, 2019, we plan to take the forum completely offline. In preparation for this end-of-lif
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
