Làm cách nào để có được tên người dùng từ thông tin đăng nhập không thành công khi sử dụng bảo mật mùa xuân?

Question

Chúng tôi đang sử dụng bảo mật mùa xuân 3.0.5, Java 1.6 và Tomcat 6.0.32. Trong tập tin cấu hình .xml, chúng tôi đã có:

<form-login login-page="/index.html" default-target-url="/postSignin.html" always-use-default-target="true" 
authentication-failure-handler-ref="authenticationFailureHandler"/> 

và authenticationFailureHandler chúng tôi định nghĩa là:

<beans:bean id="authenticationFailureHandler" class="org.springframework.security.web.authentication.ExceptionMappingAuthenticationFailureHandler"> 
    <beans:property name="exceptionMappings"> 
     <beans:props> 
    <beans:prop key="org.springframework.security.authentication.BadCredentialsException">/index.html?authenticationFailure=true</beans:prop> 
    </beans:props> 
    </beans:property> 
</beans:bean> 

Java

@RequestMapping(params={"authenticationFailure=true"}, value ="/index.html") 
    public String handleInvalidLogin(HttpServletRequest request) { 
     //... How can I get the username that was used??? 
     // I've tried: 
     Object username = request.getAttribute("SPRING_SECURITY_LAST_USERNAME_KEY"); 
     Object username = request.getAttribute("SPRING_SECURITY_LAST_USERNAME"); // deprecated 
    } 

Vì vậy, chúng tôi đang chỉ đạo tất cả BadCredentialsExceptions đến index.html và IndexController. Trong số IndexController Tôi muốn nhận được username đã được sử dụng cho lần đăng nhập không thành công. Tôi có thể làm cái này như thế nào?

Answer 1

Được rồi, vậy câu trả lời hóa ra là một điều cực kỳ đơn giản nhưng theo như tôi có thể nói, không được thảo luận hay ghi chép nhiều.

Dưới đây là tất cả những gì phải làm (không cấu hình bất cứ nơi nào vừa tạo lớp này) ...

import org.apache.log4j.Logger; 
import org.springframework.context.ApplicationListener; 
import org.springframework.security.authentication.event.AuthenticationFailureBadCredentialsEvent; 
import org.springframework.stereotype.Component; 

@Component 
public class MyApplicationListener implements ApplicationListener<AuthenticationFailureBadCredentialsEvent> { 
    private static final Logger LOG = Logger.getLogger(MyApplicationListener.class); 

    @Override 
    public void onApplicationEvent(AuthenticationFailureBadCredentialsEvent event) { 
     Object userName = event.getAuthentication().getPrincipal(); 
     Object credentials = event.getAuthentication().getCredentials(); 
     LOG.debug("Failed login using USERNAME [" + userName + "]"); 
     LOG.debug("Failed login using PASSWORD [" + credentials + "]"); 
    } 
} 

Tôi xa một chuyên gia về an ninh mùa xuân vì vậy nếu ai đọc này và biết một lý do chúng tôi shouldn Làm như thế này hoặc biết cách tốt hơn tôi muốn nghe về nó.

Answer 2

Thay vào đó, bạn có thể cung cấp phiên bản DefaultAuthenticationEventPublisher của riêng mình và ghi đè phương thức publishAuthenticationFailure.

Answer 3

Tôi đã tìm thấy điều này phù hợp với tôi. Thật không may, tôi vẫn không tìm được vị trí chính xác của việc này trong các tài liệu SpringSecurity:

Trong bất kỳ hành động, bạn có thể kiểm tra tên người dùng cuối sử dụng (không có vấn đề gì đăng nhập được thất bại hay không):

String username = (String) request.getSession().getAttribute("SPRING_SECURITY_LAST_USERNAME"); 

Answer 4

tôi đã làm nó theo cách này:

1. tạo một lớp mà kéo dài SimpleUrlAuthenticationFailureHandler

2. Overrid phương pháp onAuthenticationFailure, wh ich nhận được thông số HttpServletRequest.

3. request.getParameter("username"), trong đó "username" là tên đầu vào của tôi ở dạng HTML của tôi.

Answer 5

Hiện không có vẻ được nhiều thông tin về giải pháp này, nhưng nếu bạn thiết lập failureForwardUrl trong cấu hình Spring bảo mật thì bạn sẽ được chuyển đến trang lỗi thay vì chuyển hướng. Sau đó bạn có thể dễ dàng truy xuất tên người dùng và mật khẩu. Ví dụ, trong cấu hình của bạn thêm: .and().formLogin().failureForwardUrl("/login/failed") (* url phải khác với các url trang đăng nhập)

Và trong điều khiển đăng nhập của bạn, sau đây:

@RequestMapping(value = "/login/failed") 
public String loginfailed(@ModelAttribute(UsernamePasswordAuthenticationFilter.SPRING_SECURITY_FORM_USERNAME_KEY) String user, @ModelAttribute(UsernamePasswordAuthenticationFilter.SPRING_SECURITY_FORM_PASSWORD_KEY) String password) { 
    // Your code here 
} 

SPRING_SECURITY_FORM_USERNAME_KEY, SPRING_SECURITY_FORM_PASSWORD_KEY là tên mặc định , nhưng bạn cũng có thể đặt chúng trong FormLoginConfigurer:

.and().formLogin().usernameParameter("email").passwordParameter("password").failureForwardUrl("/login/failed")