为什么这个Spring Security实现只检查密码而不检查用户名？

Question

我正在使用Spring Security开发一个简单的Spring启动应用程序。我硬编码了用户名和密码，但问题是我可以用任何用户名登录，只有密码由Spring Security检查。

以下是代码：

@EnableWebSecurity
@RequiredArgsConstructor
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    public final MyUserDetailsService userDetailsService;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService);
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

MyUserDetails服务类：

@Service
public class MyUserDetailsService implements UserDetailsService {

    private static final String USERNAME = "john";
    private static final String PASSWORD = "$2a$10$5yPLXyd0J2TEHhsbD3Azjumpn6OePKsiV1XPpFaZfytT33mRAn3N6";

    @Override
    public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {
        return new org.springframework.security.core.userdetails
                .User(USERNAME, PASSWORD, new ArrayList<>());
    }
}

Rest控制器类：

@RestController
public class ApiController {

    @GetMapping("/hello")
    public String sendMoney() {
        return "Hello World!";
    }
}

我将用户名“john”和密码“test”硬编码为BCrypt加密。但问题是，我可以用任何用户名登录，只有密码应该是“test”。谁能解释一下原因吗？为什么Spring Security只检查密码为“test”，而不检查用户名为“john”？任何反馈都将受到重视。非常感谢。

Answer 1

您似乎忽略了参数sto：

    public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {

换句话说，无论代码被要求检索什么用户细节，它都会检索硬编码的细节。用户“不是约翰”？我们当然有。用户“不存在”？我们也有，等等。

我猜您的目的是检查s是否等于“john”，如果请求的用户名是“john”，则只返回硬编码的用户详细信息。

Answer 2

这是故意的<代码>用户详细信息服务。loadUserByUsername（字符串用户）应提供与用户对应的记录。使用硬编码记录是可以接受的，但您有责任控制用户名是否正确。

但事实上，如果您希望SpringSecurity同时测试用户名和密码，则不应该实现自定义的UserDetailService，而应该直接使用一个现成的InMemoryUserDetailsManager。