SaaS(Software-as-a-Service,软件即服务)作为一种新型软件服务形式，正在全球兴起。作为软件产业的一次革命，中国软件供应商如何看待这场革命？它在中国市场的命运是否会一帆风顺？

起跳

    主营业务为Call center的北京讯鸟软件有限公司，半年前成为Xtools在线CRM软件的使用者。他们的使用动机很简单，“公司拥有4个办公区，属于分散办公，而且，我们不知道哪个CRM软件比较好用”；他们的要求也很简单，“只要能用就行，连接速度要快，不要发生数据丢失的情况”。

    经过在网上试用后，总裁吴益民感觉还不错。很快，经过注册、申请、开通账户后，讯鸟的销售人员开始了网上办公。使用中，吴益民发现软件还提供了工作总结、任务进展等模块，不久，公司为一些技术人员在Xtools.cn上开通了账户。

　　如今，讯鸟软件不仅是在线软件的使用者，还即将成为SaaS大潮中的一员。公司正在筹划构建基于SaaS模式的Call center中心，用户只需注册账户就可以开通Call center，预计年底前上线。

　　讯鸟软件只是中国SaaS生态图中的一个分子。Salesforce.com的创始人，曾经在甲骨文公司供职的Benioff多次表示，这种新型的软件提供方式将颠覆传统软件。“颠覆”有点儿夸张，但是我们却无法忽视它，这就是SaaS。

贴近电子商务

    今年9月，前eBay首席运营官迈纳德·韦伯被Salesforce董事会任命为公司董事，任期至2009年。这会是Salesforce融合进电子商务元素的信号吗？

　　SaaS与电子商务结合，听起来还不错。在国内，电子商务巨擘阿里巴巴推出了阿里软件，其中整合了在线CRM的功能。传统ERP厂商金算盘又打起了电子商务和在线应用软件的“算盘”，于今年7月推出了整合性的全程电子商务平台。

　　金算盘全程电子商务平台由金算盘全程供应链管理系统——金算盘9i(全程供应链管理系统)、亿禧网（www.72ec.com）、eTools（金算盘电子商务工具）三部分构成。平台中嵌入了基于互联网的eERP、eCRM、eSRM和eOA等新型管理软件系统，除了为用户提供、发布信息和资讯、搜索商机、即时通讯和信用保障等传统电子商务服务外，还可提供商务协同、在线工作、物流管理、供应链整合与管理等服务。

　　“这个平台将企业的管理范畴从企业内部延伸到了企业外部的上游供应商和下游客户，形成了一个完整的电子商务供应链管理系统。”金算盘副总裁张志鹏表示。

　　与Xtools和800CRM不同，在金算盘的服务模式下，用户希望将产品信息等公开地放在网络服务器上，而客户自己的信息、数据则在本地处理，用户可以把金算盘的服务器作为中转站，传送公司的远程数据，使企业随时随地使用在线数据。

　　从2004年末开始调研，2005年进入产品研发阶段，金算盘累计为这个业务投入了2000多万元。7月份平台发布之前，就已经有1000多家客户，如今客户数量更是近万家。这些客户几乎都同时使用了电子商务和ERP管理软件两方面的服务，其中又有7成以上的客户带来了实际收益，截至目前，这项收入达到200多万元。

　　张志鹏坦言，这比他们预期的数字要好。他乐观预计，这一业务在明年年底至少能实现盈亏平衡。而记者通过综合采访得到的信息判断，Xtools和800CRM用两年时间达到的业绩，金算盘用了3个多月就达到了。

　　金算盘的精明，在于它从企业认为有价值的电子商务平台服务切入，并附加上ERP、CRM、OA等管理软件功能。凭借自己在软件领域的品牌影响力，金算盘开始攻城略地。阿里巴巴则巧妙地把SaaS服务融入电子商务，通过增加越来越多的软件功能，提升电子商务平台对客户的价值。

　　从现阶段看，两者似乎有异曲同工之妙，长远来看，金算盘毕竟是一个软件企业，对它产生最大价值的不会是电子商务，而是在线软件服务市场。

虚热，实热？

    Xtools.cn是国内较早试水SaaS的厂商之一，谢亿民是这家公司的营销总监。7月份以来，他先后接受了多家媒体采访，主题无一例外都是SaaS。这让他不禁感叹，SaaS真的越来越热了。

　　据IDC预测，2009年全球SaaS开支将达到107亿美元。“在过去3到5年里，内部安装CRM的总体拥有成本（TCO）一直在上升，相比而言，托管型CRM肯定经济。”Yangkee咨询机构的一位分析师说。

　　业界炒作了几年的SaaS，是否会重蹈上世纪90年代末ASP（Application Service Provider，应用服务提供商）无疾而终的覆辙？如今的SaaS热，是虚热还是实热？

　　有人认为，SaaS是ASP的变种。事实上，两者还是有区别的。以往的ASP更多强调“软件托管”这一形式，软件架构本身没有改变，还是以客户端-服务器的形式提供。而SaaS的软件架构已经悄然改变，广泛应用了Ajax技术，支持界面局部刷新，使得在线服务更像在用软件而不是网页浏览。用户通过互联网的形式在线使用软件，实现了随时试用、随时申请、随时开通，交纳月租费就行。

　　业界一种普遍的看法是，由于价格优势，SaaS非常适合中小企业采用。谢亿民却指出，“价格并不是SaaS吸引用户的最大优势”。在他看来，以下三个原因更重要。首先，SaaS使交易过程全部透明，包括产品和价格，“中小企业最担心重金买回来的东西不符合使用需求，而且传统CRM的报价很虚，企业购买产品时没有可参考的价格标准，厂商与用户要经过长时间的讨价还价才能达成一致”。

　　由此带来了另外两个优势：交易过程简单、交易成本较低，以及使用门槛与风险降低。使用传统CRM软件，用户需要花很多时间和精力对比产品、选型，即便使用一段时间后发现产品不符合要求，已经投入的成本也只能打水漂了。而且，企业都希望重金实施管理软件后，能够马上见到回报，虽然信息化的回报没这么快，SaaS这种“即用即买”的投入，有助于消除企业的顾虑。

　　除了这些优势外，国际软件厂商对SaaS的态度推动了中国企业的跟进。今年2月，SAP推出了CRM on demand，并在全球范围内销售，目前已完成在中国市场的本土化工作，开始在中国市场销售；甲骨文收购Siebel后，延续了其SaaS模式的CRM产品线；今年7月，微软宣布将在2007年推出它的CRM在线版。

　　关键的问题是，时机是否已经成熟？SAP大中华地区首席技术官张侠博士表示，SaaS可以看做是软件服务的外包，这与IT业务流程外包的观念相一致。此外，如今的互联网发展远比2000年前后更成熟，企业办公对互联网的依赖程度也越来越高，今天的SaaS比当年的ASP更具备成功的要素。

平台化

    互联网正在成为社会的基础设施。SaaS显示出，软件产业正呈现出平台网络化的趋势：灵活的软件平台架构，用户可以方便地增加所需要的功能模块，一体化地在网络上运行等。另一方面，SaaS呈现出平台化的发展趋势。

　　微软首席软件设计师奥齐曾经说，网络软件注重团体的协作性，而传统软件则负责一些复杂的功能并且提供良好的安全性，网络软件是传统软件的有益补充，软件工业的未来是软件加服务。

　　今年6月，微软和苏州软件园宣布启动中国第一个SaaS软件孵化器。孵化器为企业提供各种支持服务，包括网络环境、合格的SaaS IDC机房设施、SaaS架构深度培训、SaaS顾问服务等，从而降低入孵企业的风险和成本，提高SaaS软件的成活率和成功率。

　　负责微软在线托管软件和服务的高级总监John Zanni对媒体表示，今年微软提供的在线托管服务除了传统的网站托管、电子邮件和即时通讯托管外，还包括应用软件的托管。去年，微软发布了Visual Studio和SQL Server 2005，这两个产品都有一个特殊的版本针对在线托管服务商。

　　“有很多应用软件开发商开发了应用软件，同时也希望以在线托管的方式来发布软件，我们将帮助软件开发商把它的应用软件变成托管，并帮他们实现相关的需求。”John Zanni说。

　　微软显然感受到了来自Salesforce的挑战，后者正意欲成为新的大型平台提供商。此前，Salesforce开发出了AppExchange管理软件在线开发平台。基于此平台，用户可以根据自己的管理需求开发管理软件，开发出的软件将在Salesforce的托管平台上使用。用户在AppExchange上购买和出售应用程序时，Salesforce将从中获利。有分析人士认为，Saleforce的举动正在使其成为下一个大型平台的提供商。

　　国内的800CRM也独立推出了类似的平台，800CRM的合作伙伴可以利用它的中文应用软件在线开发平台（800APP Native）或协同开发平台（800APP COMPOSITE）快速开发或集成增值软件产品。类似开发平台的出现，无疑将推动SaaS概念的普及，也会推动一批SaaS软件的诞生。

　　SAP的张侠则提出，对软件业真正影响深远的革命性话题是SOA(面向服务的体系结构Service-oriented architecture)。在SOA架构中，企业应用都是由分布在网络上的服务组合而成的。企业业务流程是快速变化着的，企业创新时，SOA这种灵活架构可以支持企业IT灵活改变，为创新服务。张侠推断，将来回头看，SOA有着广阔的应用前景，将促使软件行业工业化，而SaaS可能只是SOA大潮里的几个小浪花。

决胜

　　美国Salesforce.com的成功故事激励着很多后来者。截止到7月31日，Salesforce二季度的收益从7190万美元增加到1.181亿美元左右，分析师预计第三季度收入达到1.261亿美元。我们却不能忘了，Salesforce已经成立了7年多，并在2004年成功上市。

　　从理念到实践，中国的SaaS还有很长的路要走。在这个过程中，渠道应该如何建设？产品应该如何提供？谁又会主导这个产业的发展？

构建生态链

　　800CRM的刘向军认为，SaaS模式中包含着三个角色：产品提供商、托管运营商和服务提供商。产品提供商具有软件产品的研发能力；服务提供商对终端客户提供实施、操作的培训和服务；托管运营商则成为连接产品供应商和用户的中间桥梁。

　　这应该是理想中的状态。虽然Salesforce.com由产品提供商成功地发展为平台运营商，但中国的Xtools、800CRM还属于大包大揽型，从产品研发、渠道拓展到服务提供基本上都由自己做。由于企业数量还不够多，发展时间较短，中国并没有形成明确的角色定位和专业化分工。

　　“未来的趋势可能是少数运营商存活，平台上有许多产品提供商提供的多种产品，产品排他性并不强，给客户自由选择的空间较大。”刘向军认为。

　　谁会成为这个掌握着通路的运营商呢？目前来看，电信运营商的潜力最大。中国电信有“商务领航”；类似的，中国网通有“宽带新动力”。在商务领航的网站中，我们能看到类似月租型CRM、邮件系统、OA系统等服务。XTools与中国电信和网通都建立了合作关系，企业客户能够通过运营商的平台了解并使用XTools的月租型CRM服务。

　　用友、金蝶等传统企业管理软件厂商，既有品牌又有客户资源，既有深厚的产品研发优势也有一定服务能力。因此，它们有实力去做运营和服务，转型SaaS的基础较好。记者获悉，金蝶在线产品事业部正在开发租用型的软件产品，预计年底之前发布。用友在线服务事业部的负责人也表示，SaaS是一个很重要的业务领域，相关产品也在研发中。

　　这一类软件厂商面临的最大问题，就是传统软件许可的售卖方式与软件租用模式之间的冲突。从短期看，前者获得的收益更大，那么软件厂商是否有足够的决心开拓SaaS市场？金算盘特意聘请原酷鹏网的副总夏平负责公司新推出的互联网业务，并独立推出了亿禧网，就是希望避免与传统业务冲突。

　　计世资讯资深分析师曹开彬相信，互联网可能会成为中小软件企业的后发优势。“对小型软件企业来说，越是低端的软件，许可证方式越收不到钱，完全转向服务的可能性就越大。高端的软件，反而可能在一段时间内继续维持原有的许可证方式。”曹开彬分析说。这批中小软件企业可能从产品提供商切入，如果起步较早，甚至可能同吃产业链。

渠道建设是个槛

　　金算盘全程电子商务平台推出的时候，制定了一个颇为可观的代理商发展目标：20万家注册服务商和1000家应用服务商。

　　所谓注册服务商，就是无须压货、只需注册就能够加入金算盘的全程电子商务发展计划，依靠发展“注册用户”来获益。应用服务商作为注册服务商的补充，主要为用户提供后续增值服务，如帮助客户培训、管理、认证或者提供无线增值业务等。这两类服务商从客户那里所获得的收益都将与金算盘对半分成。

　　金算盘集团董事长兼总裁杨春将这种全新的渠道模式戏称为“像传销一样卖软件”。3个月过去了，如今，注册服务商发展了3000多家、应用服务商新增200多家，总数达到700多家。

　　虽然张志鹏表示，前期金算盘采取了比较谨慎的拓展措施，以后发展速度会更快，但是这个数据已经相当可观了。

　　Xtools采取了互联网线上推广、线下渠道代理商等推广方式，在全国共有30多家推广中心。如今，这家两岁多的企业拥有客户近千家，这个数字包括中国电信、中国网通、新浪企业服务等合作伙伴推广的客户。

　　800CRM宣称注册账户达到4万个，不过它有一个供用户免费使用的标准版，这就占去了近一半的账户数。另外，考虑到一家企业可能会开通几十个甚至上百个账户，800CRM拓展的企业数应该不太多。

　　从中不难发现，传统软件厂商的渠道优势更明显一些。然而，原有的渠道一方面推广许可型软件，一方面推广在线租用软件，肯定会发生左右手“互搏”的情况。到目前为止，金算盘渠道策略还没有出现大问题，恐怕与其现阶段电子商务平台色彩更浓一些不无关系。打算做SaaS的企业，必须想清楚，渠道要怎么做？

软件通用是方向

　　很多投资商都看好SaaS的盈利前景，因为他们相信，一个SaaS企业前期最主要的投入就是软件研发和硬件购置成本，而这部分成本都是可以复用的。一旦企业投入运营，新用户的增加能够带来收益的增加，却并不带来太大的成本增加。

　　刘向军却有一个相反的观点，即随着用户数量的增加，亏损会增大。“托管模式下的软件营销方式还无法颠覆传统软件的营销模式，两者的营销成本相差不大，但收入却差很多。传统软件实施前能收60%的预付款甚至全款，租用则一般一次性收6个月的租金，基本相当于传统软件1/5-1/10的金额。”

　　提供通用性产品还是个性化定制？记者发现，不同的选择会导致不同的结果。张志鹏反复强调一个观点，客户想喝水，却并不需要自己建大水库，只需打开水龙头即可，金算盘要做的就是这个大水库。在产品上，金算盘不会针对某一个用户，而是一个通用平台，但是会把应用细化、模块化，供客户选择，“否则就成为项目了”，他指出。

　　800CRM坚持了一定程度上的定制，它认为，客户很多需求还是与提供的产品有差别，需要企业提供咨询、培训。他们发现，1/3以上的客户存在着这种需求。

　　显然，既然以互联网的形式提供软件应用，就必须要适应互联网时代的特点。互联网对所有用户都是平等的，标准化的服务是其特征。即使存在着个性化定制，这种操作也必须是易学易用的。

　　如果说如何找到用户是在线软件服务提供商面临的一道槛，那么接下来，他们必须面对的是，粘住用户，让用户愿意继续掏钱购买服务。未来一段时间内，进入SaaS市场的企业会更多，用户的选择余地也就更大。同样都是基于互联网的服务，如果别人做得更好，用户就可以随时更换，就像给手机换壳一样。如何维系用户的使用忠诚度，将成为企业新的课题。

链接一:SaaS要点

　　SaaS（Software-as-a-service，软件即服务），是一种颠覆传统的软件服务方式，它将使软件供应商与客户的关系发生彻底转变，从售卖关系转变为服务关系；

　　这一服务方式的特点是：

　　1． 软件基于互联网运用，采用标准浏览器作为交互界面；

　　2．实现了移动办公，用户可以在任何可以上互联网的地方使用该软件，不必增加任何特别的软件和硬件；

　　3．具备快速、简洁的交付、设置和培训过程；

　　4．采用“一对多”模式，是一种多订户系统构架，可以同时支持数千名用户同时使用；

　　5．付费方式灵活，一般按照服务模式进行付费，用多少付多少，也可按使用时间支付；

　　6．数据交换接口友好，包括数据的导入和数据的导出等，便于SaaS的数据与客户内部的系统进行数据的输入和输出。

链接二:Salesforce传奇

　　Marc Benioff是Salesforce公司的董事长兼CEO，Evan Goldberg则是NetSuite公司的董事长。Salesforce提供在线CRM软件，NetSuite则提供面向中小型企业的 CRM/ERP/Ecommerce 等综合性网络应用软件。两人有一个共同点：他们都曾经在甲骨文就职，并且，他们的公司都得到了甲骨文CEO Larry Ellison的资金支持。

　　Evan Goldberg对早在1998年，他与Larry Ellison的一次谈话记忆犹新。他对Ellison说，自己在考虑办一家公司，提供帮助小公司管理销售人员的软件。Ellison听后提了三点想法，“开办网络公司；改做会计和记账软件；让我来投资。”

　　Goldberg记得跟Ellison谈话后不久，好友Marc Benioff就告诉他：他也在考虑创办一家公司，提供Siebel Systems为大公司开发的那种客户管理软件，不过其服务对象是小公司。大约过了3个月，Salesforce.com和NetSuite问世了。

　　2004年7月，Salesforce刚上市时，股票交易价为11美元。最近一个月，它的股价则在40美元附近徘徊。成立7年多的Salesforce.com在全世界的2.48万个公司拥有超过50.1万个用户，并以每年80%的速度增长，客户满意度高达97%。

评论一:并非软件“终结者”

　　传统软件厂商对SaaS抱有一种既爱又恨的矛盾心理，正如网络媒体崛起时，纸质媒体、电视媒体对它的恐惧一样。

　　这些企业的观望可以理解。做SaaS吧，会不会搬起石头砸了自己的脚？不做吧，又确实有一部分用户存在这样的需求，如果自己不提供在线的解决方案，无异于把客户向竞争对手怀抱里推。

　　事实上，互联网是强大的，也是脆弱的。9月底的一天，由于遭受大量黑客的攻击，国内最大的域名和网站托管服务提供商——万网无法正常浏览。在这之前，国内另一域名服务商新网的域名解析服务器发生故障，导致30％多在其注册的网站无法访问。黑客攻击、网络故障、病毒肆虐，这决定了企业的软件应用不可能完全建立在互联网上。

　　更重要的是，用户的需求决定着软件供应商提供软件的方式。无论是2000年用友推出ASP模式的伟库，还是2004年Xtools和800CRM推出SaaS模式的在线CRM产品，本质上都反映了“on demand”理念。

　　中小企业由于业务复杂度较低、标准化程度较高，具有使用租用型软件的需求，而传统的许可证售卖方式仍然能在大型企业中找到生存空间；由于涉及商业核心数据、应用稳定、投资较简单，财务管理软件和一些基础软件更多地还是本地部署，而SaaS在CRM、HR、EMAIL、ERP等相对不那么核心的领域有更大的应用空间。

　　正如SAP虽然也推出了CRM on demand产品，并根据客户的需要继续推出SaaS产品，但这些产品只是SAP为企业提供的全面解决方案的一小部分。无论是虾米还是大象，都能找到自己的位置，SaaS无法颠覆传统软件，两者必然以互补的形式共同满足用户的不同需求。

评论二:管理软件厂商将向服务提供商转变

　　虽然目前中国的服务市场主要由以HP、IBM、蓝色快车和神州数码为代表的传统服务商占据着，但国内的管理软件厂商正面临向服务提供商的转变。未来5年，将很可能出现由管理软件厂商演变的服务提供商。

　　与国外管理软件厂商相比，本土管理软件厂商在向服务提供商转变方面具有独特的优势，如政策优势，政府对国产软件厂商提供了政策支持，如国务院颁发的18号文和47号文，使得本土管理软件厂商在开拓国内市场，尤其是政府市场方面掌握了先机；其次，还有客户关系优势，通过遍布全国的代理网络，管理软件厂商与客户保持了良好的合作关系，以至于当用户遇到IT服务方面的问题时，首先想到的不是专门的服务商，而是熟识的管理软件商，并且，管理软件商也非常乐意为用户提供帮助和支持。

　　随着用户信息化建设经验的增长，用户购买软件产品越来越重视厂商的服务能力，促使软件厂商提供付费服务。从目前的发展情况看，以用友、金蝶为首的国内领先管理软件厂商的收入结构已经出现了向服务倾斜的趋势。

　　服务市场的快速发展也推动了管理软件厂商的转变，数据显示，2005年中国IT服务市场规模已经达到451亿元，预计2006年将达到558亿元；而管理软件的市场规模仅有178亿元和215.4亿元。由管理软件厂商向服务提供商转变，不仅有助于提高软件的质量，还意味着更广阔的市场空间。

• Pre-Invocation Handling

    AbstractSecurityInterceptor调用AccessDecisionManager来做最终的资源访问控制的决定。下面我们来仔细看一下AccessDecisionManager这个接口，它包含如下三个方法：

    Acegi提供了三个具体的类去管理投票结果，他们三个的不同存在于对投票结果的统计上。ConsensusBased类根据非弃权票中同意和反对的数量来决定是否通过。在同意和反对票相同时或都投弃权票时可以根据设置来决定授权与否。AffirmativeBased类只要有一个或多个投票赞成就会给予通过，同样我们可以设置在都投弃权票的时候是否通过。UnanimousBased类会在所有的非弃权票都投赞成票时才通过，同样的设置出现在都投弃权票的时候。

    Acegi提供了AccessDecisionVoter的两个实现类。对于RoleVoter，我们需要配置它的rolePrefix属性（如ROLE_），当ConfigAttribute以rolePrefix开头时，RoleVoter才投票，否则投弃权票（ACCESS_ABSTAIN）。开始投票时，如果存在一个GrantedAuthority和被访问资源的一个或多个ConfigAttributes完全匹配时，投赞成票，否则投反对票。

• After Invocation Handling

    AbstractSecurityInterceptor调用AccessDecisionManager来决定资源（业务或domain对象）的访问。有时候，我们还需要在访问资源后进行一些操作，例如对返回数据的再加工。实际上，在Spring里使用AOP是很容易实现的，但Acegi提供了更加方便的类使我们对访问后资源进行操作。

    同访问前控制类似，访问后控制由AfterInvocationManager管理，下面是它的实现类图：

    可以看到，AfterInvocationManager接口和AccessDecisionManager接口有着相似的方法。需要注意的是，AfterInvocationManager的decide方法的参数包含了一个returnedObject，这个就是业务方法执行后返回的结果，我们可以对其进行再次的加工。

    AfterInvocationProviderManager是用于管理Provider的，我们可以配置多个Provider，每个Provider都个对返回结果进行操作，操作顺序由配置顺序决定。上一个Provider的结果会传到下一个Provider。

   配置完AfterInvocationProviderManager，一定要把它注入到MethodSecurityInterceptor里。

    在进行用户身份验证时，最一般的方法是把合法用户的信息放到Session（或其他持久介质如cookie中），以后每次涉及到身份验证时，就把用户的信息取出，在和相应的权限做比较，完成身份验证。

    Acegi的验证机制和上面提到的是完全一样的，不同的是Acegi通过xml文件配置的方式来实现这种验证，而不是把验证过程嵌入到业务逻辑里。

    在Acegi框架里，充当session角色的是SecurityContextHolder类，它保存着应用的安全信息（SecurityContext），其中就包括当前正在使用该系统的用户信息及权限。SecurityContext的认证主体安全信息在一个HTTP请求线程的多个调用之间是共享的（通过ThreadLocal），但它不能在多个请求之间保持共享。为了解决这个问题，Acegi将认证主体安全信息缓存于HttpSession中，当用户请求一个受限的资源时，Acegi通过HttpSessionContextIntegrationFilter将认证主体信息从HttpSession中加载到SecurityContext实例中，认证主体关联的SecurityContext实例保存在Acegi容器级的SecurityContextHolder里。当请求结束之后，HttpSessionContextIntegrationFilter执行相反的操作，将SecurityContext中的认证主体安全信息重新转存到HttpSession中，然后从SecurityContextHolder中清除对应的SecurityContext实例。通过HttpSession转存机制，用户的安全信息就可以在多个HTTP请求间共享，同时保证SecurityContextHolder中仅保存当前有用的用户安全信息。如下图（摘自http://tech.it168.com/j/2007-05-22/200705221448921_1.shtml）：

    上图说明了如何在用户发出请求(可能是一个Http的请求，也可能是也是method或domain object的请求)后，Acegi是如何获得用户信息及其权限的。上面提到，实际上SecurityContext包含的是Authentication对象，这是一个封装对象，通过它，我们即可以获得UserDetail（用户信息），有可以获得GrantedAuthority（用户权限）。

    获得用户身份后，Acegi通过AuthenticationManager来实现身份的认证。它象一个安检入口，对用户身份进行核查，用户必须提供身份认证的凭证（一般是用户名/密码）。在进行身份认证时，AuthenticationManager将身份认证的工作委托给多个AuthenticationProvider。因为在具体的系统中，用户身份可能存储在不同的用户信息安全系统中（如数据库、CA中心、LDAP服务器），不同用户信息安全系统需要不同的AuthenticationProvider执行诸如用户信息查询、用户身份判断、用户授权信息获取等工作。只要有一个AuthenticationProvider可以识别用户的身份，AuthenticationManager就通过用户身份认证，并将用户的授权信息放入到SecurityContext中。

   上述过程就是一个身份验证的过程。下面描述的就是这个流程：

  （1）用户访问首页，并点击了一个链接；

  （2）url请求到达服务器后，服务器判断这个资源是不是受保护的；

  （3）当访问的是受保护资源时，如果用户还没有相应的认证信息 （SecurityContext里没有该用户的Authentication对象），服务器将返回一个http相应，更一般的情形是返回一个页面，通常是登录页面；否则进行第7步；

  （4）在登录页面，用户输入信息（一般是用户名、密码），并提交到服务器；

  （5）服务器获得用户输入的信息；

  （6）服务器验证用户信息是否是合法的，如果不是，通常将再次回到登录页面；

  （7）服务器通过用户身份获得其权限信息（一般放在数据库里），并验证这些权限信息是否能获得该资源的访问。如果能，则返回相应视图；如果不能，则抛出异常（AccessDeniedException）。（能与不能就不是验证机制了，而是授权机制，下面就讨论授权）

1. 对于基本类型

    java中存在8个基本类型（整型4个：int,short,long,byte；浮点型2个：float,double；unicode编码的字符类型：char；真值类型：boolean），他们都不能做范型的邦定类型，如Demo<int>。如果想这样做，java提供了包装类型。

   2. 运行时类型检查

     java提供了instanceof关键字来提供运行时刻类型检查，如：

     需要说明的是这种机制对范型是不起作用的

     上面这样做编译就通不过。

   3. 异常处理

    当你要使用范型和异常处理相结合时（抛出或捕获范型类），可要注意了，因为这样做很可能连编译都通不过。

   4. 范型数组

    在实践中，我们是不能使用范型数组的，例如像下面那样：

     这样写是不能编译通过的。

   5. 静态范型类型

     声明一个静态范型方法或属性是被禁止的，如下：

      这样写会发生编译异常。

    以上是引入范型机制后，java语言使用的一些限制，总体来讲，这些限制都是由范型的实现机制引起的。在使用时，当出现范型的地方报错时，就可能是以上原因造成的。

1. 范型类

    这样声明的一个Demo1类相当于把上面定义的Demo1类中T都换作String了。

    范型类可以有多个类型，例如像上面的Demo1类，我们可以改作如下：

  2.  范型方法  

    如果我们不需要范型类，也可以只定义我们需要的范型方法。范型方法可以在普通类里定义。

     实际上，红体标出的<String>完全可以省略。因为可以根据strings的String[]类型推出。

     我们还可以对范型加以约束，例如我们可能希望T的类型能应用comparaTo方法，即T的类型实现了Comparable接口，那么我们可以像下面那样定义一个实现插入排序算法的方法：

    可以看到，T类型需要实现接口Comparable（像String，Date）。

    Comparable是一个接口，那么为什么用extends而不是implements呢？实际上T也可以是一个接口。所以为了省事，就统一使用extends了。此外，邦定类型可以不唯一，如下：

  3.  范型实现原理

   我们都知道在java以前的版本是不支持范型的，现在引入范型，是不是要对虚拟机进行大刀阔斧的改变呢？答案当然是否定的，因为我们需要向后兼容性。

    实际上，范型类型的定义虚拟机都会提供一个原始类型，像上面的Demo1类的原始类型定义如下：

1. 序列

   在oracle中，并没有什么主键自动增长的概念，要实现这样的功能，需要使用序列，一个序列是一个全局的变量。例如定义一个序列叫MYSEQUENCE，则MYSEQUENCE.CURRVAL 返回当前序列的值（如：10），则MYSEQUENCE.NEXTVAL 返回下一值（为：11）。语句如下

   2. 获得某张表的主键名称

       注意：两个表命称是一样的，且要大写。

   3. 选取字段不为空的值

   4. 选则用户所拥有的表

   5. 获得某个表的某个字段的类型

   只用三个字段，其中id是属性，content是我们要存储对象的字段。

   先来看看我们要存入的对象：

     City对象包括了城市名称和区号。下面是主要的应用了。

  需要注意的是，上述步骤必须设置con.setAutoCommit(false)，否则oracle会抛出异常。

  接下来，绿色的代码是读取数据库中blob字段的对象，并恢复。我们要知道的是，所有对blob字段的操作都是二进制的，即插入时是二进制流，读出时也是二进制流。然后用io修饰器（ObjectInputStream）去修饰。以前学习java时，感觉它的io好繁琐啊，现在感觉还真是各有其用。下面是测试的输出结果。

    需要说明一下，buff的size一定要足够大，否则将抛出异常。在这里，我使用的是inblob.getBufferSize()来设置buff的size，这并不是一种好的方法，因为一般inblob.getBufferSize()都是32768，很可能出现异常，所以这个size最好自己设置，或系统运行时刻设置（幸好java提供数组长度的运行时刻设置）。

上面是我本人研究的结果，当然少不了网友们的知识奉献。下面就转自一位网友的blog。

转：

1.新建记录，插入BLOB数据
 1.1首先新建记录的时候，使用oracle的函数插入一个空的BLOB，假设字段A是BLOB类型的:
  insert xxxtable(A,B,C) values(empty_blob(),'xxx','yyyy')
 1.2后面再查询刚才插入的记录，然后更新BLOB，在查询前，注意设置Connection的一个属性:
  conn.setAutoCommit(false);如果缺少这一步，可能导致fetch out of sequence等异常.
 1.3 查询刚才插入的记录,后面要加“ for update ”,如下：
  select A from xxxtable where xxx=999 for update ,如果缺少for update，可能出现row containing the LOB value is not locked

的异常
 1.4 从查询到的 BLOB字段中，获取blob并进行更新，代码如下：
  BLOB blob = (BLOB) rs.getBlob("A");
  OutputStream os = blob.getBinaryOutputStream();
  BufferedOutputStream output = new BufferedOutputStream(os);

  后面再使用output.write方法将需要写入的内容写到output中就可以了。例如我们将一个文件写入这个字段中：
  BufferedInputStream input = new BufferedInputStream(new File("c:\\hpWave.log").toURL().openStream());
  byte[] buff = new byte[2048];  //用做文件写入的缓冲
  int bytesRead;
  while(-1 != (bytesRead = input.read(buff, 0, buff.length))) {
   output.write(buff, 0, bytesRead);
   System.out.println(bytesRead);
  }
  上面的代码就是从input里2k地读取，然后写入到output中。
 1.5上面执行完毕后，记得关闭output,input,以及关闭查询到的ResultSet
 1.6最后执行conn.commit();将更新的内容提交，以及执行conn.setAutoCommit(true); 改回Connction的属性
2.修改记录，方法与上面的方法类似，
 2.1首先更新BLOB以外的其他字段
 2.2 使用1.3中类似的方法获取记录
 2.3 修改的过程中，注意以下:a 需要更新的记录中，BLOB有可能为NULL,这样在执行blob.getBinaryOutputStream()获取的值可能为

null,那么就关闭刚才select的记录，再执行一次update xxxtable set A = empty_blob() where xxx, 这样就先写入了一个空的BLOB(不是null),然后再

使用1.3,1.4中的方法执行更新记录.b 注意别忘了先执行setAutoCommit(false),以及"for update",以及后面的conn.commit();等。
3.读取BLOB字段中的数据.
 3.1 读取记录不需要setAutoCommit(),以及 select ....for update.
 3.2 使用普通的select 方法查询出记录
 3.3 从ResultSet中获取BLOB并读取，如下：
  BLOB b_to = (BLOB) rs.getBlob("A");
  InputStream is = b_from.getBinaryStream();
  BufferedInputStream input = new BufferedInputStream(is);
  byte[] buff = new byte[2048];
  while(-1 != (bytesRead = input.read(buff, 0, buff.length))) {
   //在这里执行写入，如写入到文件的BufferedOutputStream里
   System.out.println(bytesRead);
  }
  通过循环取出blob中的数据，写到buff里,再将buff的内容写入到需要的地方
4.两个数据库间blob字段的传输
类似上面1和3的方法，一边获取BufferedOutputStream,另外一边获取BufferedInputStream，然后读出写入，需要注意的是写入所用的

Connection要执行conn.setAutoCommit(false);以及获取记录时添加“ for update ”以及最后的commit();

总结以上方法，其根本就是先创建空的BLOB，再获取其BufferedOutputStream进行写入，或获取BufferedInputStream进行读取

• Aspect: 就像先前解释的一样，把嵌入业务的日志输出，事务管理，身份验证等Cross-cutting concerns提取出来形成的类，就叫做Aspect。
• Joinpoint:Aspect在业务流程中执行的时刻就是Joinpoint。例如，我们在一个插入数据库的业务前要有个日志输出，那么把这个日志输出抽出来形成一个Aspect，这个Aspect执行的时刻就是Joinpoint。一般的，Joinpoint实在某个方法执行之前或之后或前后都有或异常发生时。Spring AOP为这些提供了支持。
  
• Advice:说白了，Aspect的具体实现（实例）就是一个Advice。也是是说，在Joinpoint点执行的是一个Advice（Aspect实例）。
• Pointcut:我们定义了Aspect和Joinpoint，那么我们让Aspect的实例在那个（些）Joinpoint(s)中执行呢，这就是Pointcut干的事了。
• Introduction:为一个现有的类增加行为或功能，这时在运行时加入的，所以只需要原有类的class文件即可，而不需修改原有类代码。
• Target object:顾名思义，即原有业务类。
• AOP proxy:AOP 的实现方式有好多种，在spring中，主要是通过动态代理方式来实现。
• Weaving:“编织”，决定Aspect何时生成Advice，主要在编译时期或运行时期。Spring AOP是在运行时期进行的，即在运行时将Advice倒入Target。
  

• Before advice: 在目标方法之前被唤醒（执行），但它并不能阻止execution flow流向目标方法，除非 Throwable or Exception。
• After returning advice:在目标方法执行之后被唤醒（执行）。
• Around advice:这是功能最强的Advice，它可以在目标方法前后都被唤醒（执行），可以决定是否执行目标方法，还可以对目标方法返回的结果进行修改。
• Throws advice:当advice抛出异常时被执行。

• 抽象角色：声明真实对象和代理对象的共同接口；
• 代理角色：代理对象角色内部含有对真实对象的引用，从而可以操作真实对象，同时代理对象提供与真实对象相同的接口以便在任何时刻都能代替真实对象。同时，代理对象可以在执行真实对象操作时，附加其他的操作，相当于对真实对象进行封装。
• 真实角色：代理角色所代表的真实对象，是我们最终要引用的对象。
  

• 远程（Remote）代理：为一个位于不同的地址空间的对象提供一个局域代表对象。比如：你可以将一个在世界某个角落一台机器通过代理假象成你局域网中的一部分。
• 虚拟（Virtual）代理：根据需要将一个资源消耗很大或者比较复杂的对象延迟的真正需要时才创建。比如：如果一个很大的图片，需要花费很长时间才能显示出来，那么当这个图片包含在文档中时，使用编辑器或浏览器打开这个文档，这个大图片可能就影响了文档的阅读，这时需要做个图片Proxy来代替真正的图片。
• 保护（Protect or Access）代理：控制对一个对象的访问权限。比如：在论坛中，不同的身份登陆，拥有的权限是不同的，使用代理模式可以控制权限（当然，使用别的方式也可以实现）。
• 智能引用（Smart Reference）代理：提供比对目标对象额外的服务。比如：纪录访问的流量（这是个再简单不过的例子），提供一些友情提示等等。

看到上面的TransactionProxyFactoryBean简要定义，我们就知道在进行配置时需要注入那些东西了。这里需要对一些属性进行说明。

• transactionManager

    这个就不用解释了吧，不管声明式还是编程式事务，就是由transactionManager进行管理的。

• target

    这个就是TransactionProxyFactoryBean所代理的目标类。

• proxyInterfaces

    定义了target指定的类所实现的接口，Spring可是大力提倡面向接口编程的。这是一个list，所以可以注入多个接口类，但要包括完整路径，如com.yangsq.dao.UserDao这样。

• transactionAttributes

   通过察看TransactionAttribute的定义，知道他implements TransactionDefinition（在编程式事物里有介绍）。这样我们就知道了它定义了事物的执行策略，如传播属性，隔离等级等。

• transactionAttributeSource

    下面是他的定义：

   原来它是对TransactionAttribute进行管理的。

下面是对编程式事务里那个例子的更改。

首先把com.yangsq.dao.impl.UserDaoImpl里的事务管理语句去掉：

com.yangsq.dao.UserDao:

/WEB-INF/data-access.xml:

需要说明的是在TransactionProxyFactoryBean里的transactionAttributes，他的prop元素中的key属性定义了target类的某个方法，可以使用通配符，如save*，prop元素的值定义了对key中定义方法应用的事务执行属性，指定格式如下：

传播行为，隔离等级，只读，+异常，-异常

其中传播行为必须定义，其他可省，例如：

"-"表示发生指定异常后立即回滚，"+"表示发生指定异常后立即提交。

经过上面xml定义，就相当于在UserDaoImpl的saveOrUpdate方法前后加入了事务处理的代码。

注意：定义了userDaoProxy后，我们在想使用userDaoImpl，就需要注入userDaoProxy的bean了，而不是userDaoImpl的bean，下面是/WEB-INF/mvc-controller.xml的更改：

工程的其他地方并某有修改，方便吧，当不想使用事务管理时，把userController注入的userDaoProxy改为注入userDaoImpl就行了。执行效果和编程式事物一样，不再多嘴了。

还要说说TransactionAttributeSource接口，Spring为我们提供了它的一个实现org.springframework.transaction.interceptor.MatchAlwaysTransactionAttributeSource。如果我们对TransactionProxyFactoryBean注入它，则对每个方法都执行事务管理，默认传播行为为PROPAGATION_REQUIRED，隔离等级为ISOLATION_DEFAULT。如下：

    生成UserDaoImpl实例后，注入transactionManager方法，然后执行createTransactionDefinition，在这个函数里，定义了事物的一些参数，如传播行为，隔离级别等。下面是TransactionDefinition的继承图谱及主要参数：

    在调用transactionManager的getTransaction方法后，返回一个TansactionStatus实例，TansactionStatus接口定义了事物执行时的状态。执行saveOrUpdate溢出后，将回滚（rollback），否则提交（commit）。

   在实际断点执行时（断点在saveOrUpdate处），执行完saveOrUpdate，察看数据库后，数据并没有插入，只有当执行完transactionManager.commit后，数据才真正插入到数据库中。

   工程的其他部分与原来的例子一模一样，执行效果也不变。

  回到Spring来，Spring的Dao框架对事务提供了强大的支持。它包括有两种事物管理，即：

• 编程式事物管理（programmatic tansaction management）
• 声明式事物管理（Declarative tansaction management）

   所谓编程式事物管理，就是把事物管理以代码的形式编写到你的应用中要使用事物管理的地方，灵活性较强。而声明式事物管理是以配置文件的形式在xml文件中定义，好处是不具有代码入侵性，当不需要事物管理时，可以直接修改配置文件，而不用修改代码。以后会介绍这两种事物管理。

   在Spring中，主要涉及以下几种事物属性：

1.  传播行为（propagation behavior）

   它是对事物的起始，暂停，终止时刻的定义，主要有以下几种

上述参数是在org.springframework.transaction.TransactionDefinition接口中定义的（类型是public static final，值从0到6）。上述参数中最常用的是PROPAGATION_REQUIRED。

2. 隔离等级（isolation level）

   在一个应用应用程序中，可能有多个事务在运行，这时就会产生一些问题。

• dirty read

    一个事物更新了数据库中的某些数据，另一个事物读取了这些数据，这时前一个事物由于某些原因回滚了，那么第二个事物读取的数据就是“脏数据”。

• non-repeatable read

    一个事物需要两次查询同一数据，但两次查询中间可能有另外一个事物更改了这个数据，导致前一个事物两次读出的数据不一致。

• phantom read

    一个事物两次查询同一个表，但两次查询中间可能有另外一个事物又向这个表中插入了一些新数据，导致前一个事物的两次查询不一致。

    为了解决以上问题，Spring的事物管理定义了一些隔离级别，所谓“隔离”，即对数据的锁定。

上述参数也是在org.springframework.transaction.TransactionDefinition接口中定义的（类型是public static final，值为-1，1，2，4，8）。上述参数中最常用的是ISOLATION_DEFAULT。

3.  read only

    应用这项属性时，底层的数据库可以对读取进行最优化，但要配合PROPAGATION_REQUIRED，PROPAGATION_REQUIRES_NEW或PROPAGATION_NESTED使用，即只能在事物中使用。

4.  timeout

    在多事物并行情况下，为了保证正确性，有些事物的操作会有延迟，甚至死锁。设置事物超时时间，可以避免事物的长时间等待。设置事物超时时间也要配合PROPAGATION_REQUIRED，PROPAGATION_REQUIRES_NEW或PROPAGATION_NESTED使用。

以上的四种属性及其相应方法都定义在org.springframework.transaction.TransactionDefinition接口及其实现类（如org.springframework.transaction.support.DefaultTransactionDefinition）里。

1. 你所编辑的这个类，即.java文件有错误，eclipse会提醒你错误的位置，改掉就行了
2. 另一种可能是你的classpath中有重复的jar包，只要找出，把它去掉。