Spring Security自定义身份验证要求

Question

我使用的是spring security 3.1.3。在我正在开发的应用程序中，当用户尝试登录时，除了检查用户名和密码外，我还需要进行额外的检查以验证他们的帐户（特别是，他们的帐户没有一个标志集，表明他们被禁止登录）。我不知道最好的办法是什么。

我应该创建一个身份验证过滤器bean，并将其包含在SpringXML中的表单登录元素中吗？或者，我应该使用仅在用户成功满足用户名/密码要求时才运行的身份验证成功过滤器吗？还是别的什么？

Answer 1

定义实现UserDetailsService的自定义用户详细信息服务。使用用户凭据填充类用户的实例，对于被禁止的用户，可以使用字段enabled或accountNonLocked。

@Service("userDetailsService")
public class MyUserDetailsService implements UserDetailsService {

    @Transactional(readOnly = true)
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {   

       // load user data from repository
       String password = ...
       boolean enabled = ...
       // ...
       UserDetails user = new User(username, password, enabled, accountNonExpired, credentialsNonExpired, accountNonLocked, authorities);
       return user;     
    }   
}

然后将您的服务连接到spring security中的身份验证管理器中。xml：

<security:authentication-manager>   
    <security:authentication-provider user-service-ref="userDetailsService">
    ...
<security:authentication-manager>