如何为Apache Shiro过度失败的登录尝试配置阈值？

Question

ApacheShiro文档暗示了捕获连续失败的登录尝试（以及其他）所需的一些功能，但是，我找不到具体的文档。目前我可以执行currentUser。登录（令牌）；使用无效pw无限次，不会捕获并抛出此错误。我正在努力寻找在源代码中实现这一点的地方。

这真的有用吗？阈值是否配置在shiro.ini?有人能给我指出为此留档（或确认它不存在）吗？

谢谢

环境详细信息：Shiro core 1.2.1和jdbc领域

开始文档第3步：处理成功或失败如果登录方法悄悄返回，就这样-我们完成了！该对象已通过身份验证。应用程序线程可以不间断地继续运行，并且可以继续调用SecurityUtils。getSubject（）将返回经过身份验证的Subject实例以及对Subject的任何调用。isAuthenticated（）将返回true。

但是如果登录尝试失败会发生什么？例如，如果最终用户提供了不正确的密码，或者访问系统的次数太多，并且他们的帐户可能被锁定，该怎么办？

Shiro有一个丰富的运行时AuthenticationException层次结构，可以准确指示尝试失败的原因。您可以将登录名包装在try/catch块中，捕获您希望的任何异常，并相应地作出反应。例如：

try {
    currentUser.login(token);
} catch ( UnknownAccountException uae ) { ...
} catch ( IncorrectCredentialsException ice ) { ...
} catch ( LockedAccountException lae ) { ...
} catch ( **ExcessiveAttemptsException** eae ) { ...
} ... catch your own ...
} catch ( AuthenticationException ae ) {
    //unexpected error?
}

//No problems, continue on as expected...

如果现有的异常类之一不能满足您的需求，可以创建自定义身份验证异常来表示特定的故障场景//没有问题，按照预期继续...结束文档

Answer 1

如果你只是在谷歌上搜索ExcessiveAttemptsException，那么在第二个链接中，你会从《shiro:

无论如何，该异常存在，但Shiro在任何时候都不会抛出/管理该异常。它是为了方便您使用，所以如果您不想创建自己的异常类，就不必创建自己的异常类。在适当的时候，您需要实例化它并将其放入域的doGetAuthenticationInfo方法中。Shiro无法自动执行此操作的原因是，这种类型的逻辑（在一定的时间内一定次数锁定帐户）通常完全取决于应用程序的用户数据模型。