彈簧安全攔截錯誤密碼

Question

我正在使用彈簧安全。我正在使用aspectj來記錄錯誤的用戶名或密碼。通過檢查loadUserByUsername來檢測異常，我能夠攔截錯誤的用戶名。我如何攔截錯誤的密碼。

看起來像Spring獲取用戶對象並根據用戶密碼檢查輸入的密碼。我怎麼可以攔截這個是任何異常提前

Answer 1

我對方面沒有太多的想法，所以這可能沒有幫助。

首先，您需要問自己，您是否真的需要區分錯誤的用戶名和密碼錯誤 - 特別是如果將這些信息返回給用戶。

默認情況下，spring-security不鼓勵這樣做，這就是爲什麼默認情況下它會返回BadCredentialsException。

彈簧安全3.0.x提供publicauthenticate()方法（在AbstractUserDetailsAuthenticationProvider類），它首先檢索在protectedretrieveUser（）方法中的用戶，然後做在protectedadditionalAuthenticationChecks()方法密碼驗證。

通過將屬性hideUserNotFoundExceptions設置爲false（它是true默認情況下），authenticate()方法可以在錯誤的密碼的情況下，被檢查UserNotFoundException（在錯誤的用戶的情況下）和BadCredentialsException。

Answer 2

感謝您通常使用的ExceptionTranslationFilter和FilterSecurityInterceptor來處理所有身份驗證失敗。您可能需要查看The Security Filter Chain頁面，並向您提供一些說明，如果這不能滿足您的需求。