Spring Security多个成功的身份验证提供程序

Question

我希望我的web应用程序的用户通过LDAP和额外的自定义身份验证进行身份验证。这是一个用Kotlin编写的Spring Boot应用程序。我将AuthenticationManagerBuilder配置为

@Autowired
lateinit var authenticationProvider: CustomAuthenticationProvider

override fun configure(auth: AuthenticationManagerBuilder) {
    auth
            .authenticationProvider(authenticationProvider)

    auth
            .ldapAuthentication()
                .userDnPatterns("uid={0},ou=people")
                .groupSearchBase("ou=groups")
                .contextSource()
                .url("ldap://localhost:8389/dc=example,dc=com")
            .and()
                .passwordCompare()
                .passwordEncoder(PlaintextPasswordEncoder())
                .passwordAttribute("userPassword")
}

我希望链接身份验证，以便如果CustomAuthenticationProvider成功地进行身份验证（函数authenticate不抛出），身份验证将继续使用LDAP身份验证提供程序。

正如所写的，如果CustomAuthenticationProvider成功地进行了身份验证，则不会评估LDAP身份验证（以及任何后续的身份验证提供程序）。只有在CustomAuthenticationProvider抛出时才执行LDAP身份验证。

我阅读了许多文章（例如Spring Security中的多个身份验证提供程序），这些文章详细介绍了具有多个身份验证提供程序，但使用OR行为而不是AND行为。有什么建议吗？

Answer 1

也许我有一些。但让我们分析一下之前在引擎盖下发生的事情。

Spring Security（ProviderManager）中的默认身份验证管理器实现维护一个身份验证提供程序列表，第一个执行成功身份验证的提供程序将停止链，其余的不调用。我相信你无法改变这一点。使用AuthenticationManagerBuilder时，可以在ProviderManager中添加身份验证提供程序。

下面的图像显示了正在发生的事情的高级概述：

public Authentication authenticate(Authentication authentication)
            throws AuthenticationException {
        Class<? extends Authentication> toTest = authentication.getClass();
        ...
        for (AuthenticationProvider provider : getProviders()) {
            if (!provider.supports(toTest)) {
                continue;
            }

            try {
                result = provider.authenticate(authentication);

                if (result != null) {
          ...
                    break;
                }
            }
      ...
            catch (AuthenticationException e) {
                lastException = e;
            }
        }

        if (result != null) {
            ...
            return result;
        }
  }

1. 在筛选器链中提供自己的身份验证管理器实现。这对我来说似乎有点挑战性。
2. 确保自定义身份验证提供程序处理所有必要的身份验证操作。