这次上传的部分内容是入门级的，比较简单，但是本章整体的功能还是非常重要的。

?

?

第四章?? 凭证安全存储

到现在为止，我们已经将JBCP Pets站点做了一些用户友好性方面的升级，包括一个自定义的登录页、修改密码以及remember me功能。

?

在本章中，我们将会把到目前为止都在使用的内存存储转移到数据库作为后台的认证存储。我们将会介绍默认的Spring Security数据库schema，并介绍自定义扩展JDBC实现的方式。

?

在本章的课程中，我们将会：

l? 理解如何配置Spring Security才能使用JDBC访问数据库服务以实现用户的存储和认证；

l? 学习如何使用基于内存数据库HSQLDB的JDBC配置，我们使用这个数据库主要是为了开发测试的目的；

l? 使得Spring Security的JDBC能够支持已经存在的遗留数据库schema；

l? 掌握两种管理用户名和密码的功能，两者都会涵盖内置的和自定义的方式；

l? 掌握配置密码编码的不同方法；

l? 理解密码salting技术以提供更安全的方式存储密码；

l? 持久化用户的remember me token，使得在服务器重启后token仍能有效；

l? 通过配置SSL/TLS加密和端口映射，在传输层上保护应用的安全。

?

使用数据库后台的Spring Security认证

我们进行安全控制的JBCP Pets应用有一个明显问题是基于内存的用户名和密码存在时间比较短，对用户很不友好。一旦应用重启，任何的用户注册，密码修改或者其他的活动都会丢失。这是不可接受的，所以对于JBCP Pets应用的下一个逻辑实现功能就是重新设置Spring Security以使用关系型数据库来进行用户存储和授权。使用JDBC访问数据库能够使得用户的信息能够持久化，及时应用重启依旧有效，另外更能代表现实世界中Spring Security的使用。

配置位于数据库上的认证存储

这个练习的第一部分是建立一个基于Java的关系数据库HyperSQL DB（或简写为HSQL）示例，并装入Spring Security默认的schema。我们将会通过使用Spring Security的嵌入式数据库配置功能来设置HSQL在内存中运行，比起手动的安装数据库，这是一个很简单的配置方法。

?

请记住在这个例子中（包括本书的其余部分），我们将使用HSQL，主要是因为它很容易安装。在使用这些例子的过程中，我们鼓励修改这个配置以使用你喜欢的数据库。鉴于我们不想让本书的这一部分过多关注于复杂数据库的安装，对练习来说我们选择了更简便而不是更接近现实。

创建Spring Security默认的schema

我们提供了一个SQL文件（security-schema.sql），它将用来创建Spring Security使用HSQL所依赖的所有表。如果你使用自己的数据库实例，你可能会需要调整schema的定义语法来适应特定的数据库。我们会将SQL文件置于classpath中，在WEB-INF/classes目录下。

配置HSQL嵌入式数据库

要配置HSQL嵌入式的数据库，我们需要修改dogstore-security.xml文件，以实现启动数据库并运行SQL