Spring-Security基础知识如门
基本概念
什么是认证
进入移动互联网时代，大家每天都在刷手机，常用的软件有微信、支付宝、头条等，下边拿微信来举例子说明认证相关的基本概念，在初次使用微信前需要注册成为微信用户，然后输入账号和密码即可登录微信，输入账号和密码登录微信的过程就是认证。
系统为什么要认证？
认证是为了保护系统的隐私数据与资源，用户的身份合法方可访问该系统的资源。
认证：用户认证就是判断一个用户的身份是否合法的过程，用户去访问系统资源时系统要求验证用户的身份信息，身份合法方可继续访问，不合法则拒绝访问。常见的用户身份认证方式有：用户名密码登录，二维码登录，手机短信登录，指纹认证等方式。
什么是会话
用户认证通过后，为了避免用户的每次操作都进行认证可将用户的信息保证在会话中。会话就是系统为了保持当前用户的登录状态所提供的机制，常见的有基于 session 方式、基于 token 方式等。
什么是授权
还拿微信来举例子，微信登录成功后用户即可使用微信的功能，比如，发红包、发朋友圈、添加好友等，没有绑定银行卡的用户是无法发送红包的，绑定银行卡的用户才可以发红包，发红包功能、发朋友圈功能都是微信的资源即功能资源，用户拥有发红包功能的权限才可以正常使用发送红包功能，拥有发朋友圈功能的权限才可以使用发朋友圈功能，这个根据用户的权限来控制用户使用资源的过程就是授权。
为什么要授权？
认证是为了保证用户身份的合法性，授权则是为了更细粒度的对隐私数据进行划分，授权是在认证通过后发生的，控制不同的用户能够访问不同的资源。
授权： 授权是用户认证通过根据用户的权限来控制用户访问资源的过程，拥有资源的访问权限则正常访问，没有权限则拒绝访问。
RBAC
基于角色的访问控制
RBAC基于角色的访问控制（Role-Based Access Control）是按角色进行授权，比如：主体的角色为总经理可以查询企业运营报表，查询员工工资信息等，访问控制流程如下：
if(主体.hasRole("总经理角色id")){查询工资
}问题：如果查询工资的角色变化为总经理和部门经理，还有项目经理可访问，此时就需要修改判断逻辑
if(主体.hasRole("总经理角色id") || 主体.hasRole("部门经理角色id")
|| 主体.hasRole("项目经理角色id")){查询工资
}根据上边案例发现，当需要修改角色的权限时就需要修改授权的相关代码，系统可拓展性差
基于资源的访问控制
按资源进行授权（Resource-Based Access Controller）
代码案例：
if(主体.hasPermission("查询公司权限标识")){查询工资
}优点：系统设计时定义好查询工资的权限标识，即使查询工资所需要的角色变化，都不需要修改授权代码，系统可扩展性强
SpringSecurity
Spring 是非常流行和成功的 Java 应用开发框架，Spring Security 正是 Spring 家族中的成员。Spring Security 基于 Spring 框架，提供了一套 Web 应用安全性的完整解决方案。
SpringSecurity的核心功能：
用户认证（Authentication）：系统判断用户是否能登录
用户授权（Authorization）：系统判断用户是否有权限去做某些事情
SpringSecurity 特点:
Spring 技术栈的组成部分，与Spring 无缝整合。
全面的权限控制，能提供完整可扩展的认证和授权支持保护
专门为 Web 开发而设计。
重量级，需要引入各种家族组件与依赖
SpringSecurity 快速入门
创建springboot项目
对应的pom文件中的核心jar
<dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-security</artifactId>
</dependency>运行项目显示的页面
该页面在登录的时候默认的用户名是user密码显示在控制台
输入用户名和密码后即可访问成功。
权限管理中的相关概念：
名称
英文名称
概念
主体
principal
使用系统的用户或设备或从其他系统远程登录的用户等等
认证
authentication
权限管理系统（通过登录操作）确认一个主体的身份，允许主体进入系统。简单说就是“主体”证明自己是谁。
授权
authorization
给用户分配权限：将操作系统的“权力”“授予”“主体”，这样主体就具备了操作系统中特定功能的能力。
入门案例及权限实战
http://t.csdnimg.cn/xf8nU