如何在Spring獲取之前捕獲Spring Security登錄表單？

Question

我有一個帶有用戶名和密碼的Spring登錄表單，它指向/ myapp/j_spring_security_check。

我希望能夠在Spring獲取請求之前提交登錄表單時攔截表單提交。

基本上，我希望能夠審查用戶輸入，看看它是否符合某些要求。如果沒有，應用程序將把用戶帶回登錄表單。如果用戶輸入滿足要求，那麼流程將進入Spring認證。

我該怎麼做？以有效的方式？

謝謝！

Answer 1

您可以使用常規的Spring Security功能來執行此操作。步驟如下：

1. 實現自定義WebAuthenticationDetailsSource和WebAuthenticationDetails。 WebAuthenticationDetails將捕獲您要驗證的額外表單域。

   注：在Spring 3.0，您需要use a BeanPostProcessor to configure的WebAuthenticationDetailsSource到UsernamePasswordAuthenticationFilter。在Spring 3.1中，您可以直接在<form-login>命名空間配置中執行此操作。

2. 實現自定義AuthenticationProvider和authenticate()檢查WebAuthenticationDetails，扔AuthenticationException如果驗證失敗。在你的登錄頁面檢查這個異常。

或者，你可以創建一個Filter，做您的驗證和春季安全過濾器之前添加。

Answer 2

使用上面的答案作爲指導，這是我創建的後處理器的一個工作示例，它允許您指定要提供給驗證器的登錄表單變量以及檢查terms_of_service複選框值的示例自定義驗證器在登錄表單中。

在Spring配置：

<bean id="authFormDetailsPostProcessor" class="com.sefaira.authauth.AuthFormDetailsPostProcessor"> 
    <property name="formVarNames" value="terms_of_service_accepted"/> 
</bean> 

AuthFormDetailsPostProcessor.java：

public class AuthFormDetailsPostProcessor implements BeanPostProcessor { 

    private String [] formVarNames; 

    public void setFormVarNames (String formVarNames) { 
    this.formVarNames = formVarNames.split (","); 
    } 

    public static class Details extends WebAuthenticationDetails { 

    private Map<String, String> map; 

    public Details (HttpServletRequest request, String [] parameters) { 
     super (request); 

     this.map = new HashMap<String, String>(); 
     for (String parameter : parameters) { 
     this.map.put (parameter.trim(), request.getParameter (parameter.trim())); 
     } 
    } 

    public String get (String name) { 
     return map.get(name); 
    } 
    } 

    public Object postProcessAfterInitialization(Object bean, String name) { 
     if (bean instanceof UsernamePasswordAuthenticationFilter) { 
      ((UsernamePasswordAuthenticationFilter)bean).setAuthenticationDetailsSource(
        new AuthenticationDetailsSource() { 
         public Object buildDetails(Object context) { 

       if (formVarNames == null) { 
       throw new RuntimeException ("AuthFormDetailsPostProcessor bean requires a formVarNames property, specifying a comma-delimited list of form vars to provide in the details object."); 
       } 

       return new Details ((HttpServletRequest) context, formVarNames); 
         } 
        }); 
     } 
     return bean; 
    } 

    public Object postProcessBeforeInitialization(Object bean, String name) { 
     return bean; 
    } 
} 

這是使用它的定製身份驗證：

public class AuthServiceAuthenticator implements AuthenticationProvider { 

    @Override 
    public Authentication authenticate (Authentication authentication) throws AuthenticationException { 

    String email = (String) authentication.getPrincipal(); 
    String password = (String) authentication.getCredentials(); 

    AuthFormDetailsPostProcessor.Details details = (AuthFormDetailsPostProcessor.Details) authentication.getDetails(); 

    // see if they checked the terms_of_service checkbox   
    String termsOfServiceVar = details.get ("terms_of_service_accepted"); 
    boolean termsOfServiceAccepted = (termsOfServiceVar != null && termsOfServiceVar.equals ("on")); 

     // ... do your custom authentication ... 

     return authentication; // or a new authentication object 
    } 

    @Override 
    public boolean supports(Class<? extends Object> authentication) { 
     return (UsernamePasswordAuthenticationToken.class.isAssignableFrom(authentication)); 
    } 
}