将多个Spring Security身份验证提供者组合为定制的单个提供者

Question

我的目标是使用凭据进行两步身份验证。第一步是检查具有主体的用户是否在特殊数据库表中具有角色。其次是执行标准ldap身份验证。

我需要的是同时执行这两项检查，但身份验证提供程序的常见方法是在任何身份验证提供程序首次成功后声明身份验证成功。因此，我决定创建一个自定义的 AuthenticationProvider 实现，它调用 LdapAuthenticationProvider，然后执行数据库检查逻辑，但它不起作用，因为没有什么可以自动连接 AbstractLdapAuthenticationProvider。

请告诉我是否

1. 解决此类问题的方法是理性的
2. 如果它是理性的，我如何注入AbstractLdapAuth的提供者？

安全配置代码为

@Autowired
private DBRoleAuthenticationProvider dbRoleAuthenticationProvider;

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.ldapAuthentication()
            .contextSource()
            .url("...")
            .managerDn("...")
            .managerPassword("...")
            .and()
            .userSearchFilter("uid={0}");
    auth.authenticationProvider(dbRoleAuthenticationProvider);
}

自定义身份验证提供程序是

@Component
public class DBRoleAuthenticationProvider implements AuthenticationProvider {

    @Autowired
    private UserHasRoleInDBService userHasRoleInDBService;

    @Autowired
    private AbstractLdapAuthenticationProvider ldapAuthenticationProvider;

    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        authentication = ldapAuthenticationProvider.authenticate(authentication);
        if (!authentication.isAuthenticated()) {
            return authentication;
        }
        try {
            String loginToSearch = (String) authentication.getPrincipal();
            if (!userHasRoleInDBService.userHasRole(loginToSearch)) {
                authentication.setAuthenticated(false);
            }
        } catch (Exception e) {
            authentication.setAuthenticated(false);
        }
        return authentication;
    }

    @Override
    public boolean supports(Class<?> authentication) {
        return authentication.equals(UsernamePasswordAuthenticationToken.class);
    }
}

提前感谢！

Answer 1

看起来像＜code＞身份验证。身份验证提供程序（dbRoleAuthenticationProvider）正在击败auth.ldapAuthentication（）

您应该通过查看LdapAuthenticationProviderConfigurer的userDetailsContextMapper（UserDetailsContentMapper userDetails ContextMaper）和ldapAuthoritiesPopulator（Ldapauthorities PopulatorldapAuthentitiesPopulattor）文档来自定义为经过身份验证的用户检索权限的方式