Spring security在登录失败时返回String作为主体而不是UserDetails？

Question

或者我遗漏了一些东西，或者这就是它的工作原理…
也就是说，我实现了UserDetailsService，并子类(AppUser)spring实用程序类User，实现了UserDetails)。如果有关系，它是这样的：

@Override
public UserDetails loadUserByUsername(String username)
throws UsernameNotFoundException {
    // try loading user by its name
    SystemUser user = null;
    try {
        user = this.sysUserService.getByUsername(username);
        if(user == null)
            throw new UsernameNotFoundException("User not found!");
    }
    catch(Exception e) {
        throw new DataRetrievalFailureException(
                "Could not load user with username: " + username);
    }
    // load user rights, and create UserDetails instance
    UserDetails res = new AppUser(user, getUserAuthorities(user));

    return res;
}

然后，我尝试使用以下方法实现帐户锁定：

public class LoginFailureEventListenter implements
ApplicationListener<AuthenticationFailureBadCredentialsEvent> {

// rest omitted for brevity

@Override
public void onApplicationEvent(AuthenticationFailureBadCredentialsEvent event) {
    // ...

    SystemUser user = ((AppUser)event.getAuthentication().getPrincipal()).getSystemUser();
    // cast exception - how is it possible to obtain String 
    // instead of UserDetails object here ?
    // ...
}
}

但是，在试图从提供的事件参数中获取主体对象时，我遇到了java.lang.ClassCastException（主体对象的类型为String)。我的意思是，好的--我可以再次按用户名加载我的SystemUser，以解决这个问题，但我没有料到会出现这种情况。...
我认为，对于这个场景，即使是源代码文档也声明getPrincipal()应该返回UserDetails实例。
有什么想法？

Answer 1

由于我们正在处理身份验证失败，因此事件中的authentication对象是提交给AuthenticationManager（但被拒绝）的对象。

在典型的场景中，这将是UsernamePasswordAuthenticationToken，其中“principal”属性是提交的用户名。

AuthenticationManager支持许多不同的身份验证机制，从它的角度来看，不能保证身份验证涉及UserDetailsService。它只知道身份验证令牌没有被接受（有一个异常），并相应地发布事件。

替代选项是自定义正在使用的AuthenticationProvider或插入AuthenticationFailureHandler（例如，如果使用表单登录）并在其中执行额外的工作。