针对客户和员工的Spring Security用户身份验证
我是Spring安全的新手。我有一个Spring Boot应用程序，其中包含两种不同类型的实体。客户和员工。在员工中，我有普通员工，管理员和超级用户。由于我使用的是JPA，每个实体都有自己的存储库。如何用LoadUserByUserName建模我的UserDetailsService，因为这是针对许多存储库进行验证的常见方法。在我的实体周围有什么我缺少的模型吗？
其他信息：
在我的设计中，我有两个实体。客户和员工。employee将具有normal、admin和super_user等角色。客户是一个不同的实体。
是否有两个UserDetailsService和两个AuthenticationProvider分别指向自己的表（Customer和Employee）？
共有1个答案
由于您的要求是要有多个身份验证入口点，这并不像Atul的答案那么简单。
您需要的是
>
登录时需要区分客户和员工。（首选方式单选按钮）
重写authenticate方法，其中authenticate方法已经传递了Authentication参数，您可以从中获得用户名和密码，并将其传递给任何自定义服务以验证用户并授予用户所需的权限。
在实现CustomAuthenticationFilter时，还需要提供自定义AuthenticationSuccessShandler和AuthenticationFailureHandlers。
如果没有任何错误地实现以上所有内容，就可以避免回退身份验证，如果配置了两个customAuthenticationProviders，spring-security默认提供回退身份验证。
-
问题内容： 目前，我正在使用Spring Security编写Web应用程序。我们有一个通过用户名和密码对用户进行身份验证的Web服务。 网络服务： 如何配置Spring Security将提供的用户名和密码传递给Web服务？ 我写了一个仅接收用户名的。 我认为问题出在您的xml中。您是否关闭了自动配置？并且您的类是否扩展AbstractUserDetailsAuthenticationProvi
-
授权服务器为进行客户端身份验证的目的，为Web应用客户端创建客户端凭据。授权服务器被鼓励考虑比客户端密码更强的客户端身份验证手段。Web应用程序客户端必须确保客户端密码和其他客户端凭据的机密性。 授权不得向本地应用程序或基于用户代理的应用客户端颁发客户端密码或其他客户端凭据用于客户端验证目的。授权服务器可以颁发客户端密码或其他凭据给专门的设备上特定安装的本地应用程序客户端。 当客户端身份验证不可用
-
在向令牌端点发起请求时，机密客户端或其他被颁发客户端凭据的客户端必须如2.3节所述与授权服务器进行身份验证。客户端身份验证用于： 实施刷新令牌和授权码到它们被颁发给的客户端的绑定。当授权码在不安全通道上向重定向端点传输时，或者 当重定向URI没有被完全注册时，客户端身份验证是关键的。 通过禁用客户端或者改变其凭据从被入侵的客户端恢复，从而防止攻击者滥用被盗的刷新令牌。改变单套客户端凭据显然快于撤销
-
如果客户端类型是机密的，客户端和授权服务器建立适合于授权服务器的安全性要求的客户端身份验证方法。授权服务器可以接受符合其安全要求的任何形式的客户端身份验证。 机密客户端通常颁发（或建立）一组客户端凭据用于与授权服务器进行身份验证（例如，密码、公/私钥对）。授权服务器可以与公共客户端建立客户端身份验证方法。然而，授权服务器不能依靠公共客户端身份验证达到识别客户端的目的。 客户端在每次请求中不能使用一
-
有时需要对某些网络资源（如Servlet、JSP等）进行访问权限验证，也就是说，有访问权限的用户才能访问该网络资源。进行访问权限验证的方法很多，但通过HTTP响应消息头的WWW-Authenticate字段进行访问权限的验证应该是众多权限验证方法中比较简单的一个。 通过HTTP响应消息头的WWW-Authenticate字段可以使浏览器出现一个验证对话框，访问者需要在这个对话框中输入用户名和密码，
-
应如何管理它们？ 一些更具体的问题： 根据定义，本机应用程序（实际上是公共客户端）不能安全地存储其凭据(client_id+secret)。是未注册的客户吗？如果我不能使用秘密来验证/验证它，我还应该做什么？ 客户端注册≠endpoint注册：第一个是关于注册客户端凭据()；第二个关于注册客户端重定向endpoint。重定向endpoint注册是否足以授予客户端的真实性？ 客户端凭据授予是否使用相