彈簧安全2.0.3＆字典攻擊

Question

我運行spring security 2.0.3，我需要實現一個簡單的字典攻擊塊， 植入是相當平凡的，添加userstatus屬性和阻止值 當自上次登錄以來X次錯誤的登錄嘗試時分配該值。 問題是如何通過彈簧安全重定向到一個合適的頁面，甚至更好
重定向到login.jsp和槽一些會話標記塊的輸入（這是JS塊只有ofcours，但我仍然需要它）， spring security的UserDetailService接口定義了一個loadByUserName方法，它使我能夠拋出自己的BadCredentialsException擴展，但ExceptionTranslationFilter不讓我利用它，是否有內置的方式來做到這一點春天還是我必須破解一些東西？ 感謝

Answer 1

我想借此看看documentation.第2.3.5我會做到這一點的方式是實現無論是Pre-auth過濾器或過濾器Authentication Processing實現你對蠻力攻擊式的檢查。你可能會想要創建一個過濾器，在大多數情況下只是委託給原始的過濾器類，除了檢查用戶是否提出了太多的請求等。或者，你也可以覆蓋所有的功能，而不是必須委託給原始過濾器。

Answer 2

實現AuthenticationFailureHandler，更新數據庫中的計數/阻塞標誌並執行重定向。我不會指望使用會話，因爲攻擊者無論如何都不會發送cookie。