安全命名空间

支持一些版本的HttpServletRequest提供的安全方法，必须isUserInRole()和getPrincipal()，通过向堆栈中添加一个SecurityContextHolderAwareRequestFilter bean来实现。 默认是"true"。

控制拦截URL的时候，使用ant路径（默认）或是使用正则表达式。 实际中，它向FilterChainProxy中设置了特定的UrlMatcher。

是否在对URL进行匹配前，先将URL转换成小写。 如果没有定义，默认是"true"。

为基础认证设置realm名称（如果启用）。 对应BasicAuthenticationEntryPoint中的realmName属性。

正常情况下AuthenticationEntryPoint将根据配置的认证机制进行设置。 这个属性让这个行为使用自定义的AuthenticationEntryPoint bean进行覆盖，它会启动认证流程。

可选的属性，指定AccessDecisionManager实现的ID，这应该被认证的HTTP请求使用。 默认情况下一个AffirmativeBased实现会被RoleVoter和AuthenticatedVoter使用。

这个属性已经被access-denied-handler子元素取代了。

对应FilterSecurityInterceptor的observeOncePerRequest属性。 默认是"true"。

控制创建一个HTTP会话的紧急程度。 如果不设置，默认是"ifRequired"。 其他选项是"always"和"never"。 这个属性的设置影响HttpSessionContextIntegrationFilter的allowSessionCreation和forceEagerSessionCreation属性。 除非把属性设置为"never"allowSessionCreation会一直为"true"。 除非把属性设置为"always"forceEagerSessionCreation会一直为"false"。 所以默认的配置允许会话的创建，但不会强制。 如果启用同步会话控制，当forceEagerSessionCreation被设置为"true"，不管这里设置的什么都会抛出异常。 使用"never"会在HttpSessionContextIntegrationFilter初始化的过程中导致异常。

这个模式定义了URL路径。 内容依赖于http元素中的path-type属性，它的默认值是ant路径语法。

HTTP Method会被用来结合模式来匹配进入的请求。 如果忽略，所有的Method都会匹配。 如果一个相同的模式指定了，使用method和没有使用method两种方式， 指定了method的匹配将被优先使用。

列出会被存储在FilterInvocationDefinitionSource中的访问属性，为定义的模式/Method结合的形式。 这应该是由分号分隔的安全配置属性队列（比如角色名称）。

可以是http或https， 这是根据一个特定的URL模式是否应该通过HTTP或HTTPS访问。 如果没有偏好还可以选择any。 如果这个属性已经出现在任何一个<intercept-url>上，一个ChannelAuthenticationFilter会添加到过滤器堆栈里， 它的附加依赖也会添加到application context中。 查看信道安全获得使用传统bean的例子配置。

如果添加了一个<port-mappings>配置，它会被SecureChannelProcessor和InsecureChannelProcessor使用来决定在重定向到HTTP/HTTPS的时候使用什么端口。

可以只使用“none”作为属性值。 它会导致任何匹配的请求完全被Spring Security忽略。所有<http> 中的其他配置，影响在请求上，在这个过程中都无法访问安全上下文。在这个请求过程中访问 被保护的方法都会失败。

这个URL应该用来生成登录页面。 对应LoginUrlAuthenticationEntryPoint的loginFormUrl属性。 默认是"/spring-security-login"。

对应UsernamePasswordAuthenticationFilter的filterProcessesUrl属性。 默认是"/j_spring_security_check"

对应UsernamePasswordAuthenticationFilter的defaultTargetUrl属性。 如果没有设置，默认值是"/"（应用的根路径）。 一个用户会在登录之后到达这个URL，在他们没有在登录之前尝试访问一个安全资源，否则他们就会被转向到原来请求的URL。

如果设置成"true"，用户会一直转发到default-target-url指定的位置，无论他们在登录页面之前访问的什么位置。 对应UsernamePasswordAuthenticationFilter的alwaysUseDefaultTargetUrl属性。

对应UsernamePasswordAuthenticationFilter的authenticationFailureUrl属性。 定义了在登录失败时浏览器会重定向的URL。 默认是"/spring_security_login?login_error"，它会自动被登陆页面生成器处理，并使用一个错误信息重新渲染登录页面。

这可以用来替换default-target-url 和always-use-default-target，你可以完全控制 成功认证之后的导航流向。这个值应该是application context中的 AuthenticationSuccessHandlerbean的名称。

可以用来替换 authentication-failure-url， 你可以完全控制认证失败之后的导航流向。这个值应该是application context中的 AuthenticationFailureHandlerbean的名称。

如果设置了这个，PersistentTokenBasedRememberMeServices会被使用到，并配置上一个JdbcTokenRepositoryImpl实例。

配置一个PersistentTokenBasedRememberMeServices但是允许使用一个自定义的PersistentTokenRepository bean。

允许对将要用在过滤器里的RememberMeServices的实现提供完全控制。 这个值将是application context里的一个实现了这个接口的bean的id。

配置一个PersistentTokenBasedRememberMeServices但是允许使用一个自定义的PersistentTokenRepository bean。

对应AbstractRememberMeServices的"key"属性。 应该设置一个唯一的值来确定remember-me的cookies只对唯一的应用有效。^[16]。

对应AbstractRememberMeServices的tokenValiditySeconds属性。 指定remember-me cookie生效的秒数周期。 默认它会在14日内生效。

remember-me服务实现要求可以访问UserDetailsService，所以在application context中必须有一个定义。 如果只定义了一个，它会被选中，并被命名空间配置自动使用。 如果这里有多个实例，你可以使用这个树形指定一个bean的id。

分析一个已存在的绘画是否应该被销毁，当一个用户认证通过，并启动了一个新会话。 如果设置为"none"，则不会出现任何改变。"newSession"会创建一个新的空会话。 "migrateSession"会创建一个新会话，并把之前会话中的属性都复制到新会话中。 默认是"migrateSession"。

如果启用了会话伪造防御， SessionManagementFilter会使用一个 匹配的DefaultSessionAuthenticationStrategy。 参考这个类的javadoc获得更多细节。

对应ConcurrentSessionControllerImpl的maximumSessions属性。

如果一个用户尝试使用一个已经过期"expired"的会话，同步会话控制器会重定性到的URL。因为用户超过了允许的会话数量，但是又在其他地方登录了系统。 除非设置exception-if-maximum-exceeded，其他时候都应该设置这个属性。 如果没有设置值，一个过期信息会直接写到响应中。

如果设置成"true"，一个SessionAuthenticationException会被抛出， 当一个用户尝试超过最大会话允许数量。 默认行为是让原始会话过期。

用户可以提供他们自己的SessionRegistry实现，使用session-registry-ref属性。 其他同步会话控制bean就可以使用它。

它也可以用来使用内部会话注册的引用，用在你自己的bean或一个管理接口里。 你可以使用session-registry-alias属性暴露内部bean，给它一个名字你可以在你的配置的任意地方都使用它。

定义一个正则表达式，会从证书中取出用户名（与UserDetailsService一起使用）。

允许一个特定的UserDetailsService，与X.509一起使用，当多个实例被配置的时候。 如果没有设置，会尝试自动定位一个合适的实例并使用它。

这个URL会触发注销操作（比如，会被过滤器处理）。 默认是"/j_spring_security_logout"。

用户在注销后转向的URL。 默认是"/"。

对应SecurityContextLogoutHandler的invalidateHttpSession属性。 默认是"true"，这样注销的时候会销毁会话。

这个元素基本是配置DaoAuthenticationProvider的简化形式。 DaoAuthenticationProvider读取用户信息，从 UserDetailsService中，比较用户名/密码，来进行用户登录。 UserDetailsService实例可以被定义，无论是命名空间中的 (jdbc-user-service 或使用 user-service-ref 属性来引用一个bean，定义在application context中)。 你可以在命名空间介绍中找到。。

如果你已经创建了自己的AuthenticationProvider 实现，（或希望配置Spring Security提供的一个实现，因为什么原因使用传统配置方式， 你可以使用下面的语法，来把它添加到内部ProviderManager 列表中：）

  <security:authentication-manager>
    <security:authentication-provider ref="myAuthenticationProvider" />
  </security:authentication-manager>
  <bean id="myAuthenticationProvider" class="com.something.MyAuthenticationProvider"/>
  

把这些设置为"true"会分别启用对Spring Security自己的@Secured注解和JSR-250注解的支持， 默认情况下它们两个都是禁用的。 JSR-250注解的应用还需要向AccessDecisionManager添加一个Jsr250Voter，这样你需要确定你需要做这个，如果你使用一个自定义的实现，然后想要使用这些注解。

除了在单独的方法或类的基础上使用@Secured定义安全属性，你可以定义交叉安全实体，覆盖你服务层中所有的方法和接口，使用<protect-pointcut>元素。 它有两个属性：

你可以在命名空间介绍中找到一个例子。

这个元素可以用来装饰一个 AfterInvocationProvider 来使用安全拦截器， 通过<global-method-security>命名空间。 你可以定义0，或者多个类，在global-method-security元素中， 每个都使用一个ref属性引用到一个 AfterInvocationProvider实例， 在你的application context中

这个元素使用其他LDAP bean来建立一个Spring LDAP ContextSource，定义LDAP服务器的位置和其他信息（比如用户名和密码，如果它不允许匿名访问）来连接它。 它也可以用来创建一个测试用的嵌入式服务器。 所有选项的语法细节信息都在LDAP章节中。 实际上的ContextSource实现是DefaultSpringSecurityContextSource，它扩展了Spring LDAP的LdapContextSource类。 manager-dn和manager-password属性分别对应后者的userDn和password属性。

如果你只在你的application context中定义了一个服务器，其他LDAP命名空间定义的bean会自动使用它。 否则，你可以为这个元素定义一个"id"属性，然后在其他命名空间bean中使用server-ref属性引用它。 这其实是ContextSource实例的bean的id，如你你想要在其他传统Spring bean中使用它。

这个元素是为了创建LdapAuthenticationProvider实例的简写。 默认情况下它会和BindAuthenticator实例和一个DefaultAuthoritiesPopulator一起配置。

这个元素配置一个LDAP UserDetailsService。 这个类使用LdapUserDetailsService，这是FilterBasedLdapUserSearch和DefaultAuthoritiesPopulator的结合。 它支持的属性与<ldap-provider>的用法相同。