개발은 전투다

<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns              = "http://www.springframework.org/schema/security"
    xmlns:beans                      = "http://www.springframework.org/schema/beans"
    xmlns:xsi                           = "http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation            = "http://www.springframework.org/schema/beans
           http://www.springframework.org/schema/beans/spring-beans-3.0.xsd
           http://www.springframework.org/schema/security
           http://www.springframework.org/schema/security/spring-security-3.0.3.xsd">
 
 <http auto-config = "true">
  <!-- intercept-url은 여러개 정의 가능.. 위에서부터 적용
    access 속성은 접근할수 있는 사용자 권한을 말한다. -->
  <intercept-url pattern="/*" access="ROLE_USER"/>
 </http>
 
 <!-- 인증요청을 처리하기 위해 authentication manager 가 xml 명시된 사용자 정보를 사용한다. -->
 <authentication-manager alias="authenticationManager">
  <authentication-provider>
   <!-- user-service 사용자정보를(id,암호,권한) 얻어오는 서비스 -->
   <user-service>
    <user name="guest" authorities="ROLE_USER" password="guest"/>
   </user-service>
  </authentication-provider>
 </authentication-manager>
    
</beans:beans>

1. Spring Security탄생 배경

Acegi 라고도 하는 Spring Security 프로젝트는 Ben Alex가 1990년대 초 처음 bbs(bulletin board system) 프로젝트를 했을 때 알파벳의 1,3,5,7,9를 따서 Acegi라고 지었던 것을 2003년에 로드존슨에게 지금의 Spring security 프로젝트의 zip파일을 보여주며 제안 했는데 너무 바빠서 제대로 검토를 못해보고 xxx security System for Spring으로 이름 지어야 해서 그때의 이름을 따서 지었다고 한다. 지금은 Spring Security로 이름도 바뀌었다.

2.  Spring Security란?

3. Spring Security 컴포넌트

Acegi Security은 네 개의 주요 컴포넌트 유형으로 구성된다. 필터, 매니저, 프로바이더, 핸들러가 그것이다.

· 필터
 이 컴포넌트는 인증 프로세싱, 세션 핸들링, 로그아웃 같은 일반적인 보안 서비스를 제공한다.

· 매니저
 필터는 보안 관련 기능의 고급 추상화일 뿐이다. 매니저와 프로바이더는 인증 프로세싱과 로그아웃 서비스를 실제로 구현하는데 사용된다. 매니저는 다양한 프로바이더가 제공한 저급 보안서비스를 관리한다.

· 프로바이더
 다양한 프로바읻는 디렉토리 서비스, 관계형 데이터베이스, 인-메모리 객체 같은 다양한 유형의 데이터 스토리지 서비스와 통신할 수 있다. 사용자 베이스와 액세스 컨트롤 정책들을 이 중 어떤 데이터 스토리지 서비스에도 저장할 수 있고, Acegi의 매니저가 런타임 시 적절한 프로바이더를 선택할 수 있다.
· 핸들러
 태스크들은 가끔 여러 단계들로 나뉘며, 각 단계는 특정 핸들러에 의해 수행된다. 예를 들어, Acegi의 로그아웃  필터는 두 개의 핸들러를 사용하여 HTTP 클라이언트를 로그아웃 한다. 한 개의 핸들러는 사용자의 HTTP 세션을 무효화 하고, 또 다른 핸들러는 사용자 쿠키를 파기한다. 여러 핸들러가 있으면 유연해 지고, 애플리케이션 요구 조건에 따라서 Acegi를 설정할 수 있다. 맞는 핸들러를 선택하여 애플리케이션을 보안화 하는데 필요한 단계를 수행한다.