<beans>
. . .
<bean id="securityInterceptor"
class="org.acegisecurity.intercept.method.
aopalliance.MethodSecurityInterceptor">
<property name="authenticationManager">
<bean class="org.acegisecurity.
providers.ProviderManager">
<property name="providers">
<list>
<bean
class="org.acegisecurity.
providers.anonymous.
AnonymousAuthenticationProvider">
<property
name="key"
value="changeThis"/>
</bean>
</list>
</property>
</bean>
</property>
<property name="accessDecisionManager">
<bean
class="org.acegisecurity.vote.
UnanimousBased">
<property name="decisionVoters">
<list>
<bean
class="org.acegisecurity.
vote.RoleVoter"/>
</list>
</property>
</bean>
</property>
<property
name="objectDefinitionSource">
<value>
com.mybank.bizlogic.AccountMgr.
transferFunds=ROLE_MANAGER
</value>
</property>
</bean>
. . .
</beans>
我们需要配置带有authenticationManager属性的securityInterceptor bean，以指定使用哪种类型的认证。由于我们的设计依靠Axis 处理程序来执行认证，而这里不需要认证，因此仅使用AnonymousAuthenticationProvider进行配置。另外，我们在Axis处理程序中创建认证令牌的方式会使Acegi获知它已经进行了认证，因此不会尝试再次认证。稍后讨论Axis处理程序时，我们将对此进行更加详细的解释。
接下来，我们需要配置带有accessDecisionManager属性的bean，以指定如何决定是否授权某用户进行访问以调用方法。Acegi具有访问决策管理器（access decision manager）的三个具体实现：AffirmativeBased、ConsensusBased和UnanimousBased。Acegi根据投票人对是否授权某用户进行访问以执行特定操作的投票，来实施访问策略。计算投票数来决定是否应该授权访问。我们选择了UnanimousBased访问决策管理器，为了客户端能够执行操作，需要所有的投票都授权访问。用户应该阅读Acegi文档，以获取对该访问决策的更深入说明。下面，我们必须配置带有投票人列表的accessDecisionManager。这里我们仅使用一个名为RoleVoter投票人。这是来自Acegi的类，根据基于角色访问控制对是否授权访问进行投票。用户还应参考Acegi文档，以获取对RoleVoter工作方式的更深入说明。
需要配置的最后一个属性是objectDefinitionSource。这就是如何指定访问受保护的对象上不同方法所需要的认证。在这里，我们只想保护transferFunds()方法，并且只允许访问manager。通过列出所有符合条件的类名、方法名和进行访问所需的角色来实现：
文章来源于领测软件测试网 https://www.ltesting.net/
