Question

如何在Maven中配置Spring Security依赖

Answer 1

1.1 spring-security-core

Spring Security的核心功能是由spring-security-core包提供的，包含了认证和访问控制功能、支持standalone应用程序、方法级安全和JDBC支持。

<properties>
<org.springframework.security.version>3.2.3.RELEASE</org.springframework.security.version>
<org.springframework.version>4.0.4.RELEASE</org.springframework.version>
</properties>
<dependency>
<groupId>org.springframework.security</groupId>
<artifactId>spring-security-core</artifactId>
<version>${org.springframework.security.version}</version>
</dependency>
注意：我们使用的是3.2.x版本的Spring Security--Spring和Spring Security有着不同的版本计划，所以他们的版本号之间没有一对一关系。

如果项目使用的是较老版本的Spring，需要注意的时Spring Security 3.1.x版本不依赖于Spring 3.1.x版本，因为Spring Security 3.1.x版本在Spring 3.1之前发布。Spring的计划是在后续的版本中，使双方的版本号更为接近，更多细节请查看这个JIRA。我们将在后面的内容中看看这种情况对我们的实际影响。

1.2 spring-security-web

要为Spring Security增加Web支持，需要引入spring-security-web依赖：

<dependency>
<groupId>org.springframework.security</groupId>
<artifactId>spring-security-web</artifactId>
<version>${org.springframework.security.version}</version>
</dependency>
这个项目为Servlet环境引入了针对URL访问控制的相关基础安全组件和过滤器。

1.3 Spring Security与较老版本的Spring Core之间的依赖问题

如上文所述，这个新的依赖产生一个Maven依赖关系问题，Spring Security的相关jar不依赖于最新的Spring core的jar （而是以前的版本）。这可能使的被依赖的Spring core相关包在类路径中被配置前在最新的Spring 4.x相关包的前面。

这是如何发生的呢？我们需要了解Maven处理版本冲突的机制，Maven会选择与依赖树树根最接近的版本。在之前的情况中，spring-orm依赖4.x版本的spring-core，而spring-security-core依赖于3.2.8版本的spring-core。因此，spring-orm和sprint-security-web的定义顺序就是一个问题，先定义的会有更高的优先级。最终情况就是，我们的类路径中会有两个版本的spring-core。

为了避免这类问题，我们需要在我们的pom文件中明确指定一些Spring依赖，而不依靠Maven隐式依赖机制。我们将在pom的根文件中定义特定的依赖关系，这样这些依赖关系将会有更高的优先级。下面例子中，将对所有的Spring核心组件明确定义相同的版本，对于多模块项目，需要在父配置文件的dependencyManagement属性中定义。

<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-core</artifactId>
<version>${org.springframework.version}</version>
</dependency>
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-context</artifactId>
<version>${org.springframework.version}</version>
</dependency>
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-jdbc</artifactId>
<version>${org.springframework.version}</version>
</dependency>
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-beans</artifactId>
<version>${org.springframework.version}</version>
</dependency>
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-aop</artifactId>
<version>${org.springframework.version}</version>
</dependency>
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-tx</artifactId>
<version>${org.springframework.version}</version>
</dependency>
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-expression</artifactId>
<version>${org.springframework.version}</version>
</dependency>
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-web</artifactId>
<version>${org.springframework.version}</version>
</dependency>
1.4 spring-security-config及其他

要使用丰富的Spring Security XML的命名空间，需要定义spring-security-config依赖：

<dependency>
<groupId>org.springframework.security</groupId>
<artifactId>spring-security-config</artifactId>
<version>${org.springframework.security.version}</version>
<scope>runtime</scope>
</dependency>
没有任何代码需要在编译时依赖这个包，所以它的范围应该定义为runtime。

最后，LDAP、ACL、CAS和OpenID支持需要分别增加各自的依赖包：spring-security-ldap, spring-security-acl, spring-security-cas和spring-security-openid。