Web 应用安全

use-authorization-manager 使用 AuthorizationManager API 代替 SecurityMetadataSource（默认为 true）

access-decision-manager-ref 使用此 AuthorizationManager 代替从 <intercept-url> 元素派生一个

access-decision-manager-ref 可选属性，指定应用于授权 HTTP 请求的AccessDecisionManager实现的 ID。默认情况下，使用带有RoleVoter和AuthenticatedVoter的AffirmativeBased实现。

authentication-manager-ref 此 http 元素创建的FilterChain使用的AuthenticationManager的引用。

observation-registry-ref FilterChain及相关组件使用的ObservationRegistry的引用。

auto-config 自动注册登录表单、BASIC 身份验证和注销服务。如果设置为“true”，则会添加所有这些功能（尽管您仍然可以通过提供相应的元素来自定义每个元素的配置）。如果未指定，则默认为“false”。不建议使用此属性。请改用显式配置元素，避免混淆。

create-session 控制 Spring Security 类创建 HTTP 会话的积极性。选项包括：

disable-url-rewriting 防止将会话 ID 附加到应用程序中的 URL。如果此属性设置为true，则客户端必须使用 Cookie。默认为true。

entry-point-ref 通常，使用的AuthenticationEntryPoint将根据已配置的身份验证机制进行设置。此属性允许通过定义一个自定义的AuthenticationEntryPoint bean 来覆盖此行为，该 bean 将启动身份验证过程。

jaas-api-provision 如果可用，则以从JaasAuthenticationToken（通过向堆栈添加JaasApiIntegrationFilter bean 来实现）获取的Subject运行请求。默认为false。

name bean 标识符，用于在上下文中的其他地方引用该 bean。

once-per-request 对应于FilterSecurityInterceptor的observeOncePerRequest属性。默认为false。

filter-all-dispatcher-types 对应于AuthorizationFilter的shouldFilterAllDispatcherTypes属性。当use-authorization-manager=false时无效。默认为true。

pattern 为http元素定义模式控制将通过其定义的过滤器列表过滤的请求。解释取决于已配置的request-matcher。如果没有定义模式，则将匹配所有请求，因此应首先声明最具体的模式。

realm 设置用于基本身份验证（如果启用）的领域名称。对应于BasicAuthenticationEntryPoint上的realmName属性。

request-matcher 定义FilterChainProxy和intercept-url创建的 bean 中使用的RequestMatcher策略，以匹配传入的请求。当前的选项包括mvc、ant、regex和ciRegex，分别用于 Spring MVC、ant、正则表达式和不区分大小写的正则表达式。使用其pattern、method和servlet-path属性为每个intercept-url元素创建一个单独的实例。Ant 路径使用AntPathRequestMatcher匹配，正则表达式使用RegexRequestMatcher匹配，对于 Spring MVC 路径匹配，使用MvcRequestMatcher。有关匹配执行方式的更多详细信息，请参阅这些类的Javadoc。如果类路径中存在 Spring MVC，则 MVC 是默认策略；否则，使用 Ant 路径。

request-matcher-ref 对实现RequestMatcher的 bean 的引用，该 bean 将确定是否应使用此FilterChain。这是pattern的更强大的替代方法。

security 通过将此属性设置为none，可以将请求模式映射到空的过滤器链。不会应用任何安全性，并且 Spring Security 的任何功能都将不可用。

security-context-repository-ref 允许将自定义SecurityContextHolderStrategy注入SecurityContextPersistenceFilter、SecurityContextHolderFilter、BasicAuthenticationFilter、UsernamePasswordAuthenticationFilter、ExceptionTranslationFilter、LogoutFilter等。

security-context-explicit-save 如果为 true，则使用SecurityContextHolderFilter而不是SecurityContextPersistenceFilter。需要显式保存。

security-context-repository-ref 允许将自定义SecurityContextRepository注入SecurityContextPersistenceFilter。

servlet-api-provision 提供HttpServletRequest安全方法（例如isUserInRole()和getPrincipal()）的版本，这些方法是通过向堆栈添加SecurityContextHolderAwareRequestFilter bean 来实现的。默认为true。

use-expressions 在access属性中启用 EL 表达式，如关于基于表达式的访问控制的章节中所述。默认值为 true。

access-denied-handler

anonymous

cors

csrf

custom-filter

expression-handler

form-login

headers

http-basic

intercept-url

jee

logout

oauth2-client

oauth2-login

oauth2-resource-server

password-management

port-mappings

remember-me

request-cache

saml2-login

saml2-logout

session-management

x509

http

error-page 如果已认证用户请求他们无权访问的页面，则将其重定向到的访问被拒页面。

ref 定义对类型为AccessDeniedHandler的 Spring bean 的引用。

ref 指定CorsFilter的 bean 名称的可选属性。

cors-configuration-source-ref 指定要注入到 XML 命名空间创建的CorsFilter中的CorsConfigurationSource的 bean 名称的可选属性。

http

defaults-disabled 指定禁用默认 Spring Security 的 HTTP 响应标头的可选属性。默认为 false（包含默认标头）。

disabled 可选属性，用于禁用 Spring Security 的 HTTP 响应头。默认为 false（启用响应头）。

http

cache-control

content-security-policy

content-type-options

cross-origin-embedder-policy

cross-origin-opener-policy

cross-origin-resource-policy

feature-policy

frame-options

header

hpkp

hsts

permission-policy

referrer-policy

xss-protection

disabled 指定是否禁用缓存控制。默认为 false。

headers

disabled 指定是否禁用 Strict-Transport-Security。默认为 false。

include-sub-domains 指定是否包含子域。默认为 true。

max-age-seconds 指定主机应被视为已知 HSTS 主机的最长时间。默认为一年。

request-matcher-ref 用于确定是否应设置标头的 RequestMatcher 实例。默认为 HttpServletRequest.isSecure() 为 true 时。

preload 指定是否应包含预加载。默认为 false。

headers

disabled 指定是否禁用 HTTP 公钥固定 (HPKP)。默认为 true。

include-sub-domains 指定是否包含子域。默认为 false。

max-age-seconds 设置 Public-Key-Pins 标头的 max-age 指令的值。默认为 60 天。

report-only 指定浏览器是否应仅报告 pin 验证失败。默认为 true。

report-uri 指定浏览器应向其报告 pin 验证失败的 URI。

headers

pin

algorithm 加密哈希算法。默认为 SHA256。

pins

policy-directives 内容安全策略标头的安全策略指令，如果 report-only 设置为 true，则使用内容安全策略报告仅标头。

report-only 设置为 true，以启用内容安全策略报告仅标头，仅用于报告策略违规。默认为 false。

headers

policy Referrer-Policy 标头的策略。默认为“no-referrer”。

headers

policy-directives 功能策略标头的安全策略指令。

headers

disabled 如果禁用，则不会包含 X-Frame-Options 头。默认为 false。

policy

headers

policy 为 Permissions-Policy 头写入的策略值。

headers

xss-protection-disabled 不要为 反射/类型 1 跨站点脚本 (XSS) 保护包含标头。

xss-protection-header-value 显式设置 反射/类型 1 跨站点脚本 (XSS) 标头的值。“0”、“1”、“1; mode=block”之一。默认为“0”。

headers

disabled 指定是否禁用内容类型选项。默认为 false。

headers

header-name 标头的名称。

value 要添加的标头的值。

ref 对 HeaderWriter 接口的自定义实现的引用。

headers

http

enabled 使用默认命名空间设置时，匿名“身份验证”功能会自动启用。您可以使用此属性禁用它。

granted-authority 应分配给匿名请求的授权权限。通常，这用于向匿名请求分配特定角色，这些角色随后可用于授权决策。如果未设置，则默认为 ROLE_ANONYMOUS。

key 提供程序和过滤器之间共享的密钥。通常不需要设置此值。如果未设置，它将默认为安全随机生成的值。这意味着在使用匿名功能时，设置此值可以缩短启动时间，因为安全随机值可能需要一段时间才能生成。

username 应分配给匿名请求的用户名。这允许识别主体，这对于日志记录和审核可能很重要。如果未设置，则默认为 anonymousUser。

http

disabled 可选属性，用于禁用 Spring Security 的 CSRF 保护。默认为 false（启用 CSRF 保护）。强烈建议保持启用 CSRF 保护。

token-repository-ref 要使用的 CsrfTokenRepository。默认为 HttpSessionCsrfTokenRepository。

request-handler-ref 要使用的可选 CsrfTokenRequestHandler。默认为 CsrfTokenRequestAttributeHandler。

request-matcher-ref 用于确定是否应应用 CSRF 的 RequestMatcher 实例。默认为除“GET”、“TRACE”、“HEAD”、“OPTIONS”之外的任何 HTTP 方法。

http

after 自定义过滤器在链中应放置在其后的过滤器。此功能仅适用于希望将其自身的过滤器混合到安全过滤器链中并了解标准 Spring Security 过滤器的用户。过滤器名称映射到特定的 Spring Security 实现过滤器。

before 自定义过滤器在链中应放置在其前的过滤器。

position 自定义过滤器在链中应放置的明确位置。如果要替换标准过滤器，请使用此属性。

ref 定义对实现Filter的 Spring Bean 的引用。

global-method-security

http

method-security

websocket-message-broker

ref 定义对实现SecurityExpressionHandler的 Spring Bean 的引用。

http

always-use-default-target 如果设置为true，则无论用户如何到达登录页面，用户都将始终从default-target-url给定的值开始。映射到UsernamePasswordAuthenticationFilter的alwaysUseDefaultTargetUrl属性。默认值为false。

authentication-details-source-ref 身份验证过滤器将使用的AuthenticationDetailsSource的引用。

authentication-failure-handler-ref 可用作authentication-failure-url的替代方案，让您完全控制身份验证失败后的导航流程。该值应为应用程序上下文中AuthenticationFailureHandler Bean 的名称。

authentication-failure-url 映射到UsernamePasswordAuthenticationFilter的authenticationFailureUrl属性。定义登录失败时浏览器将重定向到的 URL。默认为/login?error，这将由自动登录页面生成器自动处理，并重新呈现带有错误消息的登录页面。

authentication-success-handler-ref 这可以用作default-target-url和always-use-default-target的替代方案，让您完全控制成功身份验证后的导航流程。该值应为应用程序上下文中AuthenticationSuccessHandler Bean 的名称。默认情况下，使用SavedRequestAwareAuthenticationSuccessHandler的实现，并注入default-target-url。

default-target-url 映射到UsernamePasswordAuthenticationFilter的defaultTargetUrl属性。如果未设置，则默认值为 "/"（应用程序根目录）。登录后，用户将转到此 URL，前提是他们在尝试访问受保护的资源时未被要求登录，在这种情况下，他们将转到最初请求的 URL。

login-page 应用于呈现登录页面的 URL。映射到LoginUrlAuthenticationEntryPoint的loginFormUrl属性。默认为"/login"。

login-processing-url 映射到UsernamePasswordAuthenticationFilter的filterProcessesUrl属性。默认值为"/login"。

password-parameter 包含密码的请求参数的名称。默认为"password"。

username-parameter 包含用户名请求参数的名称。默认为"username"。

authentication-success-forward-url 将ForwardAuthenticationSuccessHandler映射到UsernamePasswordAuthenticationFilter的authenticationSuccessHandler属性。

authentication-failure-forward-url 将ForwardAuthenticationFailureHandler映射到UsernamePasswordAuthenticationFilter的authenticationFailureHandler属性。

http

client-registration-repository-ref 对ClientRegistrationRepository的引用。

authorized-client-repository-ref 对OAuth2AuthorizedClientRepository的引用。

authorized-client-service-ref 对OAuth2AuthorizedClientService的引用。

authorization-request-repository-ref 对AuthorizationRequestRepository的引用。

authorization-request-resolver-ref 对OAuth2AuthorizationRequestResolver的引用。

authorization-redirect-strategy-ref 对授权RedirectStrategy的引用。

access-token-response-client-ref 对OAuth2AccessTokenResponseClient的引用。

user-authorities-mapper-ref 对GrantedAuthoritiesMapper的引用。

user-service-ref 对OAuth2UserService的引用。

oidc-user-service-ref 对 OpenID Connect OAuth2UserService的引用。

login-processing-url 过滤器处理身份验证请求的 URI。

login-page 发送用户登录的 URI。

authentication-success-handler-ref 对AuthenticationSuccessHandler的引用。

authentication-failure-handler-ref 对AuthenticationFailureHandler的引用。

jwt-decoder-factory-ref OidcAuthorizationCodeAuthenticationProvider使用的JwtDecoderFactory的引用。

http

client-registration-repository-ref 对ClientRegistrationRepository的引用。

authorized-client-repository-ref 对OAuth2AuthorizedClientRepository的引用。

authorized-client-service-ref 对OAuth2AuthorizedClientService的引用。

authorization-code-grant

oauth2-client

authorization-request-repository-ref 对AuthorizationRequestRepository的引用。

authorization-redirect-strategy-ref 对授权RedirectStrategy的引用。

authorization-request-resolver-ref 对OAuth2AuthorizationRequestResolver的引用。

access-token-response-client-ref 对OAuth2AccessTokenResponseClient的引用。

client-registration

provider

client-registrations

registration-id 唯一标识ClientRegistration的 ID。

client-id 客户端标识符。

client-secret 客户端密钥。

client-authentication-method 用于使用提供程序对客户端进行身份验证的方法。支持的值为client_secret_basic、client_secret_post、private_key_jwt、client_secret_jwt和none (公共客户端)。

authorization-grant-type OAuth 2.0 授权框架定义了四种授权授予类型。支持的值为authorization_code、client_credentials、password以及扩展授予类型urn:ietf:params:oauth:grant-type:jwt-bearer。

redirect-uri 客户端已注册的重定向 URI，在最终用户已通过身份验证并授权访问客户端后，授权服务器将最终用户的用户代理重定向到该 URI。

scope 客户端在授权请求流程期间请求的范围，例如 openid、email 或 profile。

client-name 用于客户端的描述性名称。在某些情况下，名称可能会被使用，例如在自动生成的登录页面中显示客户端的名称时。

provider-id 对关联提供程序的引用。可以引用<provider>元素或使用其中一个常用提供程序（google、github、facebook、okta）。

client-registrations

provider-id 唯一标识提供程序的 ID。

authorization-uri 授权服务器的授权端点 URI。

token-uri 授权服务器的令牌端点 URI。

user-info-uri 用于访问已认证最终用户的声明/属性的用户信息端点 URI。

user-info-authentication-method 将访问令牌发送到用户信息端点时使用的身份验证方法。支持的值为header、form和query。

user-info-user-name-attribute 用户信息响应中引用的最终用户的名称或标识符的属性名称。

jwk-set-uri 用于从授权服务器检索JSON Web 密钥 (JWK)集的 URI，该集合包含用于验证 ID 令牌的加密密钥以及可选的用户信息响应的JSON Web 签名 (JWS)。

issuer-uri 用于使用 OpenID Connect 提供程序的配置端点或授权服务器的元数据端点发现来初始配置ClientRegistration的 URI。

http

jwt

opaque-token

authentication-manager-resolver-ref 指向一个AuthenticationManagerResolver，它将在请求时解析AuthenticationManager

bearer-token-resolver-ref 指向一个BearerTokenResolver，它将从请求中检索Bearer令牌

entry-point-ref 指向一个AuthenticationEntryPoint，它将处理未授权的请求

oauth2-resource-server

jwt-authentication-converter-ref 指向一个Converter<Jwt, AbstractAuthenticationToken>

jwt-decoder-ref 指向一个JwtDecoder。这是一个更大的组件，它会覆盖jwk-set-uri

jwk-set-uri 用于从OAuth 2.0授权服务器加载签名验证密钥的JWK Set Uri

oauth2-resource-server

introspector-ref 指向一个OpaqueTokenIntrospector。这是一个更大的组件，它会覆盖introspection-uri、client-id和client-secret。

introspection-uri 用于内省不透明令牌详细信息的内省Uri。应与client-id和client-secret一起使用。

client-id 用于针对提供的introspection-uri进行客户端身份验证的客户端ID。

client-secret 用于针对提供的introspection-uri进行客户端身份验证的客户端密钥。

authentication-converter-ref 指向一个OpaqueTokenAuthenticationConverter。负责将成功的内省结果转换为Authentication实例。

id 唯一标识RelyingPartyRegistrationRepository的ID。

asserting-party

relying-party-registration

relying-party-registrations

registration-id 唯一标识RelyingPartyRegistration的ID。

metadata-location 声明方元数据位置。

client-id 依赖方的EntityID。

assertion-consumer-service-location AssertionConsumerService 位置。等同于在依赖方的<SPSSODescriptor>中找到的<AssertionConsumerService Location="…​"/>中的值。

assertion-consumer-service-binding AssertionConsumerService 绑定。等同于在依赖方的<SPSSODescriptor>中找到的<AssertionConsumerService Binding="…​"/>中的值。支持的值为POST和REDIRECT。

single-logout-service-location SingleLogoutService 位置。等同于在依赖方的<SPSSODescriptor>中找到的<SingleLogoutService Location="…​"/>中的值。

single-logout-service-response-location SingleLogoutService ResponseLocation。等同于在依赖方的<SPSSODescriptor>中找到的<SingleLogoutService ResponseLocation="…​"/>中的值。

single-logout-service-binding SingleLogoutService 绑定。等同于在依赖方的<SPSSODescriptor>中找到的<SingleLogoutService Binding="…​"/>中的值。支持的值为POST和REDIRECT。

asserting-party-id 对关联的声明方的引用。必须引用<asserting-party>元素。

decryption-credential

signing-credential

relying-party-registration

certificate-location 获取证书的位置

private-key-location 获取依赖方私钥的位置

relying-party-registration

certificate-location 获取此证书的位置

private-key-location 获取依赖方私钥的位置

relying-party-registrations

asserting-party-id 唯一标识声明方的ID。

entity-id 声明方的EntityID

want-authn-requests-signed WantAuthnRequestsSigned设置，指示声明方首选依赖方在发送之前应签署AuthnRequest。

single-sign-on-service-location SingleSignOnService 位置。

single-sign-on-service-binding SingleSignOnService 绑定。支持的值为POST和REDIRECT。

signing-algorithms 此声明方的org.opensaml.saml.ext.saml2alg.SigningMethod算法列表，按优先级排序。

single-logout-service-location SingleLogoutService 位置。等同于在声明方的<IDPSSODescriptor>中找到的<SingleLogoutService Location="…​"/>中的值。

single-logout-service-response-location SingleLogoutService ResponseLocation。等同于在声明方的<IDPSSODescriptor>中找到的<SingleLogoutService ResponseLocation="…​"/>中的值。

single-logout-service-binding SingleLogoutService 绑定。等同于在声明方的<IDPSSODescriptor>中找到的<SingleLogoutService Binding="…​"/>中的值。支持的值为POST和REDIRECT。

encryption-credential

verification-credential

asserting-party

certificate-location 获取证书的位置

private-key-location 获取依赖方私钥的位置

asserting-party

certificate-location 获取此证书的位置

private-key-location 获取依赖方私钥的位置

http

authentication-details-source-ref 身份验证过滤器将使用的AuthenticationDetailsSource的引用。

entry-point-ref 设置BasicAuthenticationFilter使用的AuthenticationEntryPoint。

ref 定义对实现HttpFirewall的Spring bean的引用。

filter-security-metadata-source

http

access 列出将为定义的URL模式/方法组合存储在FilterInvocationSecurityMetadataSource中的访问属性。这应该是安全配置属性（例如角色名称）的逗号分隔列表。

method 将与模式和servlet路径（可选）结合使用以匹配传入请求的HTTP方法。如果省略，则任何方法都将匹配。如果使用和不使用方法指定了相同的模式，则特定于方法的匹配将优先。

pattern 定义URL路径的模式。内容将取决于包含http元素中的request-matcher属性，因此如果Spring MVC在类路径中，则默认为MVC匹配器。

request-matcher-ref 对将用于确定是否使用此<intercept-url>的RequestMatcher的引用。

requires-channel 可设置为 "http" 或 "https"，分别表示特定 URL 模式应通过 HTTP 或 HTTPS 访问。或者，当没有偏好时，可以使用值 "any"。如果此属性存在于任何<intercept-url> 元素中，则会将一个ChannelProcessingFilter添加到过滤器堆栈中，并将其附加依赖项添加到应用程序上下文。

servlet-path 将与模式和 HTTP 方法结合使用以匹配传入请求的 servlet 路径。此属性仅在request-matcher 为 'mvc' 时适用。此外，仅在以下两种情况下需要该值：1) 在ServletContext中注册了两个或多个HttpServlet，它们的映射都以'/'开头且不同；2) 模式以已注册的HttpServlet路径的相同值开头，不包括默认的 (根) HttpServlet '/'。

http

mappable-roles 一个逗号分隔的角色列表，用于在传入的 HttpServletRequest 中查找。

user-service-ref 对用户服务 (或 UserDetailsService bean) ID 的引用。

http

delete-cookies 一个逗号分隔的 cookie 名称列表，这些 cookie 应在用户注销时删除。

invalidate-session 映射到SecurityContextLogoutHandler的invalidateHttpSession。默认为 "true"，因此会话将在注销时失效。

logout-success-url 用户注销后将被带到的目标 URL。默认为 <form-login-login-page>/?logout (即 /login?logout)

logout-url 将导致注销的 URL（即，将由过滤器处理的 URL）。默认为 "/logout"。

success-handler-ref 可用于提供LogoutSuccessHandler的实例，该实例将被调用以控制注销后的导航。

http

relying-party-registration-repository-ref 对RelyingPartyRegistrationRepository的引用。

authentication-request-repository-ref 对Saml2AuthenticationRequestRepository的引用。

authentication-request-context-resolver-ref 对Saml2AuthenticationRequestResolver的引用。

authentication-converter-ref 对AuthenticationConverter的引用。

login-processing-url 过滤器处理身份验证请求的 URI。

login-page 发送用户登录的 URI。

authentication-success-handler-ref 对AuthenticationSuccessHandler的引用。

authentication-failure-handler-ref 对AuthenticationFailureHandler的引用。

authentication-manager-ref 对AuthenticationManager的引用。

http

logout-url 依赖方或断言方可以触发注销的 URL。

logout-request-url 断言方可以发送 SAML 2.0 注销请求的 URL。

logout-response-url 断言方可以发送 SAML 2.0 注销响应的 URL。

relying-party-registration-repository-ref 对RelyingPartyRegistrationRepository的引用。

logout-request-validator-ref 对Saml2LogoutRequestValidator的引用。

logout-request-resolver-ref 对Saml2LogoutRequestResolver的引用。

logout-request-repository-ref 对Saml2LogoutRequestRepository的引用。

logout-response-validator-ref 对Saml2LogoutResponseValidator的引用。

logout-response-resolver-ref 对Saml2LogoutResponseResolver的引用。

http

change-password-page 更改密码页面。默认为 "/change-password"。

http

port-mapping

port-mappings

http 要使用的 http 端口。

https 要使用的 https 端口。

http

authentication-success-handler-ref 如果需要自定义导航，则设置RememberMeAuthenticationFilter上的authenticationSuccessHandler属性。该值应为应用程序上下文中的AuthenticationSuccessHandler bean 的名称。

data-source-ref 对DataSource bean 的引用。如果设置了此属性，则将使用PersistentTokenBasedRememberMeServices并配置JdbcTokenRepositoryImpl实例。

remember-me-parameter 切换记住我身份验证的请求参数的名称。默认为 "remember-me"。映射到AbstractRememberMeServices的 "parameter" 属性。

remember-me-cookie 存储记住我身份验证令牌的 cookie 的名称。默认为 "remember-me"。映射到AbstractRememberMeServices的 "cookieName" 属性。

key 映射到AbstractRememberMeServices的 "key" 属性。应将其设置为唯一值，以确保记住我 cookie 仅在一个应用程序内有效^[3]。如果未设置此值，则将生成一个安全随机值。由于生成安全随机值可能需要一段时间，因此显式设置此值可以帮助在使用记住我功能时缩短启动时间。

services-alias 将内部定义的RememberMeServices导出为 bean 别名，允许应用程序上下文中的其他 bean 使用它。

services-ref 允许完全控制过滤器将使用的RememberMeServices实现。该值应为应用程序上下文中的 bean 的id，该 bean 实现此接口。如果使用注销过滤器，则还应实现LogoutHandler。

token-repository-ref 配置PersistentTokenBasedRememberMeServices，但允许使用自定义的PersistentTokenRepository bean。

token-validity-seconds 映射到AbstractRememberMeServices的tokenValiditySeconds属性。指定记住我 cookie 有效的秒数。默认情况下，它将有效期为 14 天。

use-secure-cookie 建议仅通过 HTTPS 提交记住我 cookie，因此应将其标记为 "secure"。默认情况下，如果进行登录请求的连接是安全的（因为它应该是安全的），则将使用安全 cookie。如果将此属性设置为false，则不会使用安全 cookie。将其设置为true将始终在 cookie 上设置安全标志。此属性映射到AbstractRememberMeServices的useSecureCookie属性。

user-service-ref 记住我服务实现需要访问UserDetailsService，因此必须在应用程序上下文中定义一个。如果只有一个，则命名空间配置将自动选择并使用它。如果有多个实例，则可以使用此属性显式指定 bean id。

http

ref 定义对作为RequestCache的 Spring bean 的引用。

http

authentication-strategy-explicit-invocation 将此属性设置为 true 表示不会注入SessionManagementFilter，并且需要显式调用 SessionAuthenticationStrategy。

invalid-session-url 设置此属性将使用配置了属性值的SimpleRedirectInvalidSessionStrategy注入SessionManagementFilter。当提交无效的会话 ID 时，将调用该策略，重定向到配置的 URL。

invalid-session-url 允许注入 SessionManagementFilter 使用的 InvalidSessionStrategy 实例。使用此属性或invalid-session-url属性，但不能同时使用两者。

session-authentication-error-url 定义当 SessionAuthenticationStrategy 抛出异常时应显示的错误页面的 URL。如果未设置，则将向客户端返回未授权 (401) 错误代码。请注意，如果错误发生在基于表单的登录过程中，则此属性不适用，此时身份验证失败的 URL 将优先。

session-authentication-strategy-ref 允许注入 SessionManagementFilter 使用的 SessionAuthenticationStrategy 实例。

session-fixation-protection 指示在用户进行身份验证时如何应用会话固定保护。如果设置为 "none"，则不应用任何保护。"newSession" 将创建一个新的空会话，只迁移与 Spring Security 相关的属性。"migrateSession" 将创建一个新会话并将所有会话属性复制到新会话。在 Servlet 3.1（Java EE 7）和更新版本的容器中，指定 "changeSessionId" 将保留现有会话并使用容器提供的会话固定保护 (HttpServletRequest#changeSessionId())。在 Servlet 3.1 和更新版本的容器中默认为 "changeSessionId"，在旧版容器中默认为 "migrateSession"。如果在旧版容器中使用 "changeSessionId"，则会抛出异常。

并发控制

session-management

error-if-maximum-exceeded 如果设置为“true”，当用户尝试超过允许的最大会话数时，将引发SessionAuthenticationException。默认行为是使原始会话过期。

expired-url 如果用户尝试使用已被并发会话控制器“过期”的会话（因为用户已超过允许的会话数并在其他地方再次登录），则用户将被重定向到的URL。除非设置了exception-if-maximum-exceeded，否则应设置此项。如果没有提供值，则只会将过期消息直接写回响应。

expired-url 允许注入ConcurrentSessionFilter使用的ExpiredSessionStrategy实例

max-sessions 映射到ConcurrentSessionControlAuthenticationStrategy的maximumSessions属性。指定-1作为值以支持无限会话。

session-registry-alias 能够引用内部会话注册表以便在您自己的bean或管理界面中使用也可能很有用。您可以使用session-registry-alias属性公开内部bean，并为其指定一个名称，以便在配置中的其他地方使用。

session-registry-ref 用户可以使用session-registry-ref属性提供他们自己的SessionRegistry实现。其他并发会话控制bean将被连接起来以使用它。

http

authentication-details-source-ref 对AuthenticationDetailsSource的引用

subject-principal-regex 定义一个正则表达式，该表达式将用于从证书中提取用户名（用于UserDetailsService）。

user-service-ref 允许在配置多个实例的情况下，将特定的UserDetailsService与X.509一起使用。如果未设置，则将尝试自动找到合适的实例并使用它。

request-matcher 定义用于匹配传入请求的策略。目前选项包括“ant”（用于ant路径模式）、“regex”（用于正则表达式）和“ciRegex”（用于不区分大小写的正则表达式）。

filter-chain

filter-chain-map

filters 实现Filter的Spring bean的逗号分隔列表。值“none”表示此FilterChain不应使用任何Filter。

pattern 与request-matcher结合创建RequestMatcher的模式

request-matcher-ref 对RequestMatcher的引用，它将用于确定是否应调用filters属性中的任何Filter。

id bean标识符，用于在上下文的其他地方引用该bean。

request-matcher 定义用于匹配传入请求的策略。目前选项包括“ant”（用于ant路径模式）、“regex”（用于正则表达式）和“ciRegex”（用于不区分大小写的正则表达式）。

use-expressions 启用在<intercept-url>元素的“access”属性中使用表达式，而不是传统的配置属性列表。默认为“true”。如果启用，则每个属性应包含单个布尔表达式。如果表达式计算结果为“true”，则将授予访问权限。

intercept-url