xiong_70的专栏

通常考虑的一个好的安全事件是采取“deny-by-default”（默认拒绝所有请求的方式） 这种情况下，你可以明确指定允许哪些，然后拒绝其他所有操作。 定义未认证用户可以做些什么，也是一种简单情况，特别是对于web应用。 多数网站要求用户必须通过一些途径进行认证，不仅仅是一些URL（比如，首页和登陆页面）。 在这种情况下，更简单的定义访问配置属性，为这些特殊的URL，而不是把每个资源都当做被保护的资源。 不同的是，有时它最好被成为ROLE_SOMETHING，默认是这样要求的， 对于这种规定，只有几个例外，比如，登陆，注销，应用的首页。 你也可以从过滤器链中完全忽略他们，这样就可以通过安全控制的检测， 但是，对于其他原因这些不好的，特别是，这些页面的行为与已认证用户不同。 这就是为什么我们使用匿名认证的原因，注意这里没有一个真正的理论来区分 “匿名认证”的用户和未认证用户。spring security匿名认证只是给你一个 更方便的方式来配置你的权限控制属性，调用servlet API，比如getCallerPrincipal 比如，也会返回null，即使这里已经有一个匿名认证对象在SecurityContextHolder里的。 这里有一些其他匿名认证发挥作用的请抗，比如当一个审计拦截器查询 SecurityContextHolder来验证哪些主体用来处理给定的操作。 类可以更好的工作，如果它们知道SecurityContextHolder 里总是包含一个Authentication对象， 永远不会是null。

Apache Shiro 是一个强大而灵活的开源安全框架