如何通过Spring安全登录页面传递附加参数

Question

我正在尝试将数据库名称设置为Spring Security登录页面的请求输入参数。目前，我只获得使用Spring安全安全上下文持有者检索的用户名。

如何访问登录页面上设置的附加字段？

Answer 1

Source cedelica提到使用AuthenticationDetailsSource和自定义的Authentication详细信息。这是一个例子。

将bean id为< code > customWebAuthenticationDetailsSource 的< code > authentic ation-details-source-ref 属性添加到< code>form-login中:

<security:http>
    <security:intercept-url pattern="/**" access="..." />
    <security:form-login authentication-details-source-ref="customWebAuthenticationDetailsSource" login-page="..." />
    <security:logout logout-success-url="..." />
</security:http>

创建新类CustomWebAuthenticationDetailsSource：

package security;

import org.springframework.security.authentication.AuthenticationDetailsSource;
import org.springframework.security.web.authentication.WebAuthenticationDetails;

import javax.servlet.http.HttpServletRequest;

public class CustomWebAuthenticationDetailsSource implements AuthenticationDetailsSource<HttpServletRequest, WebAuthenticationDetails> {
    @Override
    public WebAuthenticationDetails buildDetails(HttpServletRequest context) {
        return new CustomWebAuthenticationDetails(context);
    }
}

以及相关的CustomWebAuthenticationDetails：

package security;

import org.springframework.security.web.authentication.WebAuthenticationDetails;
import javax.servlet.http.HttpServletRequest;

public class CustomWebAuthenticationDetails extends WebAuthenticationDetails {

    private final String yourParameter;

    public CustomWebAuthenticationDetails(HttpServletRequest request) {
        super(request);
        yourParameter = request.getParameter("yourParameter");
    }

    public String getyourParameter() {
        return yourParameter;
    }

    //TODO override hashCode, equals and toString to include yourParameter
    @Override
    public int hashCode() { /* collapsed */ }
    @Override
    public boolean equals(Object obj) { /* collapsed */ }
    @Override
    public String toString() { /* collapsed */ }
}

Answer 2

阐述@Vacuum的评论

这里有一个简单的方法（未经测试，但我相信这是可行的）

1. 创建一个新类 ExUsernamePassword 身份验证筛选器，该类将扩展默认筛选器并获取其他参数并将其存储在会话中。它看起来像这样：

public class ExUsernamePasswordAuthenticationFilter extends UsernamePasswordAuthenticationFilter {
    
    @Override
    public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
        final String dbValue = request.getParameter("dbParam");
        request.getSession().setAttribute("dbValue", dbValue);

        return super.attemptAuthentication(request, response); 
    } 
}

UserDetails loadUserByUsername(String username) throws UsernameNotFoundException, DataAccessException;

以获取步骤 1） 中的筛选器提供的会话变量。

xml prettyprint-override"><custom-filter ref="beanForYourCustomFilterFromStep1" position="FORM_LOGIN_FILTER"/>

有关自定义过滤器的更多信息，请参阅留档的这一部分：http://static.springsource.org/spring-security/site/docs/3.1.x/reference/springsecurity-single.html#ns-custom-filters

Answer 3

有很多方法可以做到这一点，但官方的方法是使用定制的AuthenticationDetails和AuthenticationDetailsSourceSpring的 和 WebAutheenticationDetails Source。将额外字段添加到自定义 WebAuthenticationDetails中，并让自定义的 WebAutheenticationDetails源

在Spring Security 3.1中，很容易通过使用< code >的< code > authentic ation-details-source-ref 属性进行配置

在 3.0 中，您必须使用 BeanPost 处理器。Spring安全常见问题解答中有一个关于使用 BeanPost 处理器配置自定义 Web 身份验证详细信息来源的示例。

完成此操作后，您可以调用安全上下文持有者.getContext（）.getAuthication（.getDetails（） 来访问您的额外字段。