在Spring Security中实现自定义身份验证

Question

关于我在Spring安全方面的问题，我想请求你的帮助。我有一个要求，其中我必须验证登录凭据的基础上的选项所选择的用户。选项1将通过第三方服务验证登录用户。选项2将是使用数据库身份验证级别的常规验证。我如何实现这一点？

Answer 1

总体战略

1. 提供org.springframework.security.authentication.authenticationprovider的自定义实现，将身份验证委托给适当的后端（第三方服务、另一个authenticationprovider等）。
2. 将用户选择的选项传递给自定义AuthenticationProvider，使其能够选择正确的身份验证后端。
3. 将自定义AuthenticationProvider配置为默认身份验证提供程序。

步骤1：实现AuthenticationProvider

AuthenticationProvider是具有单个方法的接口。因此，自定义实现可能如下所示：

class DelegatingAuthenticationProvider implements AuthenticationProvider {
  @Autowired
  private ThirdPartyAuthenticationService service;

  @Autowired
  @Qualifier("anotherAuthenticationProvider")
  private AuthenticationProvider provider;

  @Override
  public Authentication authenticate(final Authentication authentication) throws AuthenticationException {
    // Get the user selection.
    String selection = (String) authentication.getDetails();

    // Take action depending on the selection.
    Authentication result;
    if("ThirdParty".equals(selection)) {
      // Authenticate using "service" and generate a new
      // Authentication "result" appropriately.
    }
    else {
      // Authenticate using "provider" and generate a new
      // Authentication "result" appropriately.
    }

    return result;
  }
}

步骤2：将用户选择传递给AuthenticationProvider

上面的AuthenticationProvider实现从Authentication对象的Details属性中提取用户选择。大概，在调用AuthenticationProvider之前，必须从HttpServletRequest中提取用户选择并将其添加到Authentication对象中。这意味着，在调用AuthenticationProvider之前，需要调用同时访问Authentication和HttpServletRequest对象的另一个组件。

Authentication对象由AbstractauthEnticationProcessingFilter的实现创建。该类有一个名为AttreauthEntication的方法，它接受HttpServletRequest对象并返回Authentication对象。因此，这似乎是实现所需内容的一个很好的候选者。对于基于用户名-密码的身份验证，实现类是UsernamePasswordAuthenticationFilter。该类返回UsernamePasswordAuthenticationToken的新实例，它是Authentication的实现。因此，扩展UsernamePasswordAuthenticationFilter的类就足够了。

class ExtendedUsernamePasswordAuthenticationFilter extends UsernamePasswordAuthenticationFilter {
  @Override
  public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
    ...
    UsernamePasswordAuthenticationToken authentication = new UsernamePasswordAuthenticationToken(username, password);
    authentication.setDetails(obtainUserSelection(request));

    ...

    return authentication;
  }
}

GreateUserSelection是从请求中获取用户选择的私有方法。

第3步：配置

在Spring Security配置中配置AuthenticationProvider和过滤器实现。具体步骤将根据使用XML还是Java配置而有所不同。