亲亲宝宝

1 、acegi通过AuthenticationProcessingFilter拦截login请求获取Principal和Credential信息（通俗一点就是用户名和密码；

2 、验证用户名密码，由这个Filter调用认证管理器AuthenticatiomManager进行验证。

AuthenticatiomManager 本身并不具备验证的功能，它相当与是一个验证控制器，由它来管理验证的过程及方式。AuthenticatiomManager是通过调用 provider来进行验证的，一个manager中可以具有多个provider，但只要有一个provider验证通过，manager就认为验证成功。

这部分要明白三点：一，provider是可以配置进去的，因为acegi是基于spring的；二是 AuthenticatiomManager是可以被重写的，你可以将manager改成你自己希望的控制器；三，好好利用event，这是标准的 observer模式。

3 、provider进行验证。

provider 是真正的验证模块，并且决定了验证的模式。provider目前acegi提供了

4 、AuthenticationProcessingFilter将对象保存到ContextHolder中。Authentication部分结束。

第二部分：authorization

1、用户提交请求，拦截器FilterSecurityInterceptor拦截请求，拦截器是一个Filter.

2 、鉴权，拦截器调用AccessDecisionManager进行鉴权。

AccessDecisionManager是通过投票的方式来决定是否有权限访问资源。所谓投票就要包括投票的参与者和投票的策略。

投票的参与者decisionVoters，这是AccessDecisionManager的一个属性。decisionVoter能从某一个角度决定用户是否能访问资源，例如RoleVoter来判断用户的角色是否有权限访问资源，MaxuserVoter来决定某个资源的访问用户数是否已经达到了最大值等。

投票策略投票的策略是通过不同的AccessDecisionManager来实现的。

3 、投票。投票对象必须实现AccessDecisionVoter接口。投票对象关注的是某一方面的决定权，如果投票通过则Vote方法来完成的。vote 方法必须返回一个int型的数据代表投票结果，它们是AccessDecisionVoter的三个静态成员属性：ACCESS_ABSTAIN,， ACCESS_DENIED和ACCESS_GRANTED，它们分别是弃权，否决和赞成。