Spring Security在标准登录表单中添加一个额外的字段

2023-08-23 00:45:04 139

概述

在本文中，我们将通过向标准登录表单添加额外字段来实现SpringSecurity的自定义身份验证方案。

我们将重点关注两种不同的方法，以展示框架的多功能性以及我们可以使用它的灵活方式。

我们的第一种方法是一个简单的解决方案，专注于重用现有的核心SpringSecurity实现。

我们的第二种方法是更加定制的解决方案，可能更适合高级用例。

2.Maven设置

我们将使用SpringBoot启动程序来引导我们的项目并引入所有必需的依赖项。
我们将使用的设置需要父声明，Web启动器和安全启动器;我们还将包括thymeleaf：


org.springframework.boot
spring-boot-starter-parent
2.0.0.M7





org.springframework.boot
spring-boot-starter-web


org.springframework.boot
spring-boot-starter-security


org.springframework.boot
spring-boot-starter-thymeleaf


org.thymeleaf.extras
thymeleaf-extras-springsecurity4

可以在MavenCentral找到最新版本的SpringBoot安全启动器。

3.简单的项目设置

在我们的第一种方法中，我们将专注于重用SpringSecurity提供的实现。特别是，我们将重用DaoAuthenticationProvider和UsernamePasswordToken，因为它们是“开箱即用”的。

关键组件包括：

•SimpleAuthenticationFilter-UsernamePasswordAuthenticationFilter的扩展
•SimpleUserDetailsService-UserDetailsService的实现
•User-SpringSecurity提供的User类的扩展，它声明了我们的额外域字段
•SecurityConfig-我们的SpringSecurity配置，它将SimpleAuthenticationFilter插入到过滤器链中，声明安全规则并连接依赖项
•login.html-收集用户名，密码和域的登录页面

3.1.简单AuthenticationFilter

在我们的SimpleAuthenticationFilter中，域和用户名字段是从请求中提取的。我们连接这些值并使用它们来创建UsernamePasswordAuthenticationToken的实例。

然后将令牌传递给AuthenticationProvider进行身份验证：

publicclassSimpleAuthenticationFilter
extendsUsernamePasswordAuthenticationFilter{
@Override
publicAuthenticationattemptAuthentication(
HttpServletRequestrequest,
HttpServletResponseresponse)
throwsAuthenticationException{
//...
UsernamePasswordAuthenticationTokenauthRequest
=getAuthRequest(request);
setDetails(request,authRequest);
returnthis.getAuthenticationManager()
.authenticate(authRequest);
}
privateUsernamePasswordAuthenticationTokengetAuthRequest(
HttpServletRequestrequest){
Stringusername=obtainUsername(request);
Stringpassword=obtainPassword(request);
Stringdomain=obtainDomain(request);
//...
StringusernameDomain=String.format("%s%s%s",username.trim(),
String.valueOf(Character.LINE_SEPARATOR),domain);
returnnewUsernamePasswordAuthenticationToken(
usernameDomain,password);
}
//othermethods
}

3.2.简单的UserDetails服务

UserDetailsService定义了一个名为loadUserByUsername的方法。我们的实现提取用户名和域名。然后将值传递给我们的UserRepository以获取用户：

publicclassSimpleUserDetailsServiceimplementsUserDetailsService{
//...
@Override
publicUserDetailsloadUserByUsername(Stringusername)throwsUsernameNotFoundException{
String[]usernameAndDomain=StringUtils.split(
username,String.valueOf(Character.LINE_SEPARATOR));
if(usernameAndDomain==null||usernameAndDomain.length!=2){
thrownewUsernameNotFoundException("Usernameanddomainmustbeprovided");
}
Useruser=userRepository.findUser(usernameAndDomain[0],usernameAndDomain[1]);
if(user==null){
thrownewUsernameNotFoundException(
String.format("Usernamenotfoundfordomain,username=%s,domain=%s",
usernameAndDomain[0],usernameAndDomain[1]));
}
returnuser;
}
}

3.3.SpringSecurity配置

我们的设置与标准的SpringSecurity配置不同，因为我们在默认情况下通过调用addFilterBefore将SimpleAuthenticationFilter插入到过滤器链中：

@Override
protectedvoidconfigure(HttpSecurityhttp)throwsException{

http
.addFilterBefore(authenticationFilter(),
UsernamePasswordAuthenticationFilter.class)
.authorizeRequests()
.antMatchers("/css/**","/index").permitAll()
.antMatchers("/user/**").authenticated()
.and()
.formLogin().loginPage("/login")
.and()
.logout()
.logoutUrl("/logout");
}

我们可以使用提供的DaoAuthenticationProvider，因为我们使用SimpleUserDetailsService配置它。回想一下，我们的SimpleUserDetailsService知道如何解析我们的用户名和域字段，并返回在验证时使用的相应用户。

publicAuthenticationProviderauthProvider(){
DaoAuthenticationProviderprovider=newDaoAuthenticationProvider();
provider.setUserDetailsService(userDetailsService);
provider.setPasswordEncoder(passwordEncoder());
returnprovider;
}

由于我们使用的是SimpleAuthenticationFilter，因此我们配置自己的AuthenticationFailureHandler以确保正确处理失败的登录尝试：

publicSimpleAuthenticationFilterauthenticationFilter()throwsException{
SimpleAuthenticationFilterfilter=newSimpleAuthenticationFilter();
filter.setAuthenticationManager(authenticationManagerBean());
filter.setAuthenticationFailureHandler(failureHandler());
returnfilter;
}

3.4.登录页面

我们使用的登录页面收集我们的SimpleAuthenticationFilter提取的额外的字段：


Pleasesignin
Example:user/domain/password
Invaliduser,password,ordomain

Username



Domain



Password


Signin

Backtohomepage

当我们运行应用程序并访问http：//localhost：8081上下文时，我们会看到一个访问安全页面的链接。单击该链接将显示登录页面。正如所料，我们看到了额外的域名字段

image

3.5.总结

在我们的第一个例子中，我们能够通过“伪造”用户名字段来重用DaoAuthenticationProvider和UsernamePasswordAuthenticationToken。

因此，我们能够使用最少量的配置和其他代码添加对额外登录字段的支持。

4.自定义项目设置

我们的第二种方法与第一种方法非常相似，但可能更适合于非平凡用例。

我们的第二种方法的关键组成部分包括：

•CustomAuthenticationFilter-UsernamePasswordAuthenticationFilter的扩展
•CustomUserDetailsService-声明loadUserbyUsernameAndDomain方法的自定义接口
•CustomUserDetailsServiceImpl-CustomUserDetailsService的实现
•CustomUserDetailsAuthenticationProvider-AbstractUserDetailsAuthenticationProvider的扩展
•CustomAuthenticationToken-UsernamePasswordAuthenticationToken的扩展
•User-SpringSecurity提供的User类的扩展，它声明了我们的额外域字段
•SecurityConfig-我们的SpringSecurity配置，它将CustomAuthenticationFilter插入到过滤器链中，声明安全规则并连接依赖项
•login.html-收集用户名，密码和域的登录页面

4.1.自定义验证过滤器

在我们的CustomAuthenticationFilter中，我们从请求中提取用户名，密码和域字段。这些值用于创建CustomAuthenticationToken的实例，该实例将传递给AuthenticationProvider进行身份验证：

publicclassCustomAuthenticationFilter
extendsUsernamePasswordAuthenticationFilter{
publicstaticfinalStringSPRING_SECURITY_FORM_DOMAIN_KEY="domain";
@Override
publicAuthenticationattemptAuthentication(
HttpServletRequestrequest,
HttpServletResponseresponse)
throwsAuthenticationException{
//...
CustomAuthenticationTokenauthRequest=getAuthRequest(request);
setDetails(request,authRequest);
returnthis.getAuthenticationManager().authenticate(authRequest);
}
privateCustomAuthenticationTokengetAuthRequest(HttpServletRequestrequest){
Stringusername=obtainUsername(request);
Stringpassword=obtainPassword(request);
Stringdomain=obtainDomain(request);
//...
returnnewCustomAuthenticationToken(username,password,domain);
}

4.2.自定义UserDetails服务

我们的CustomUserDetailsService合约定义了一个名为loadUserByUsernameAndDomain的方法。

我们创建的CustomUserDetailsServiceImpl类只是实现并委托我们的CustomUserRepository来获取用户：

publicUserDetailsloadUserByUsernameAndDomain(Stringusername,Stringdomain)
throwsUsernameNotFoundException{
if(StringUtils.isAnyBlank(username,domain)){
thrownewUsernameNotFoundException("Usernameanddomainmustbeprovided");
}
Useruser=userRepository.findUser(username,domain);
if(user==null){
thrownewUsernameNotFoundException(
String.format("Usernamenotfoundfordomain,username=%s,domain=%s",
username,domain));
}
returnuser;
}

4.3.自定义UserDetailsAuthenticationProvider

我们的CustomUserDetailsAuthenticationProvider将AbstractUserDetailsAuthenticationProvider和委托扩展到我们的CustomUserDetailService以检索用户。这个类最重要的特性是retrieveUser方法的实现。

请注意，我们必须将身份验证令牌强制转换为CustomAuthenticationToken才能访问我们的自定义字段：

@Override
protectedUserDetailsretrieveUser(Stringusername,
UsernamePasswordAuthenticationTokenauthentication)
throwsAuthenticationException{
CustomAuthenticationTokenauth=(CustomAuthenticationToken)authentication;
UserDetailsloadedUser;
try{
loadedUser=this.userDetailsService
.loadUserByUsernameAndDomain(auth.getPrincipal()
.toString(),auth.getDomain());
}catch(UsernameNotFoundExceptionnotFound){
if(authentication.getCredentials()!=null){
StringpresentedPassword=authentication.getCredentials()
.toString();
passwordEncoder.matches(presentedPassword,userNotFoundEncodedPassword);
}
thrownotFound;
}catch(ExceptionrepositoryProblem){
thrownewInternalAuthenticationServiceException(
repositoryProblem.getMessage(),repositoryProblem);
}
//...
returnloadedUser;
}

4.4.总结

我们的第二种方法几乎与我们首先提出的简单方法相同。通过实现我们自己的AuthenticationProvider和CustomAuthenticationToken，我们避免了需要使用自定义解析逻辑来调整我们的用户名字段。

5.结论

在本文中，我们在SpringSecurity中实现了一个使用额外登录字段的表单登录。我们以两种不同的方式做到了这一点
•在我们简单的方法中，我们最小化了我们需要编写的代码量。通过使用自定义解析逻辑调整用户名，我们能够重用DaoAuthenticationProvider和UsernamePasswordAuthentication
•在我们更加个性化的方法中，我们通过扩展AbstractUserDetailsAuthenticationProvider并使用CustomAuthenticationToken提供我们自己的CustomUserDetailsService来提供自定义字段支持。

与往常一样，所有源代码都可以在GitHub上找到。

总结

以上所述是小编给大家介绍的SpringSecurity在标准登录表单中添加一个额外的字段，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对毛票票网站的支持！

Spring Security在标准登录表单中添加一个额外的字段

热门推荐

随机推荐