Spring boot更改默认身份验证系统

Question

默认情况下，Spring Boot使用从客户端默认接受值为“/login”的HttpServletRequest。

如果我想创建一个自定义身份验证系统，包括以下选项：

1. 登录endpoint，如：/api/v1/auth/ign，将接受电子邮件和密码
2. 而不是像YT中的许多视频所示那样创建CustomAuthFilter，而是在auth控制器中创建一个处理发送回jwt令牌的方法。

现在我已经知道，要更改默认登录路由，我需要：

. formLogin（）. loginProcessingUrl（"/api/v1/login"）

但是下一部分呢？

我需要创建像SignInRequest和SignInResponse这样的对象吗？

如果是这样，客户端应用程序是否需要根据SignInRequest和SignInResponse映射数据？

这是我的注册服务：

@Override
public User signup(User user) {
    String encodedPassword = passwordEncoder.encode(user.getPassword());
    user.setPassword(encodedPassword);
    return authRepository.save(user);
}

我想为signin创建类似的服务，比如：

@Override
public User signin(String email, String password) {
   // somehow do login and return the user with access and refresh tokens?
}

即使我创建了一个SigninRequest对象，客户端应用程序也会始终发送电子邮件和密码，对吗？

由于我没有处理过复杂的后端，我对如何解决这个问题的想法非常有限。

任何见解或资源将是有益的，谢谢。

我当前的attemptAuthentication方法：

    public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
        StringBuffer sb = new StringBuffer();
        BufferedReader reader = null;
        String content = "";
        String email = "";
        String password = "";
        try {
            reader = request.getReader();
            char[] buffer = new char[1024];
            int read;
            while ((read = reader.read(buffer, 0, buffer.length)) != -1) {
                sb.append(buffer, 0, read);
            }
            content = sb.toString();
            Map<String, String> map = new ObjectMapper().readValue(content, Map.class);
            email = map.get("email");
            password = map.get("password");
        } catch (IOException e) {
            e.printStackTrace();
        } finally {
            if (reader != null) {
                try {
                    reader.close();
                } catch (IOException ex) {
                    try {
                        throw ex;
                    } catch (IOException e) {
                        e.printStackTrace();
                    }
                }
            }
        }
        UsernamePasswordAuthenticationToken authenticationToken = new UsernamePasswordAuthenticationToken(email, password);
        return authenticationManager.authenticate(authenticationToken);
    }

Answer 1

Spring支持许多复杂的自定义身份验证方法。Spring Security留档提供了完整的概述：

Spring Security文档-身份验证

根据您的问题，我得出结论，您希望坚持某种用户/密码身份验证。以下文件对此进行了描述：

Spring Security Docs-用户/密码验证

你基本上有三个选择：

1. 表单登录：在这里，一个动态生成的HTML页面呈现给用户，用户可以在其中输入用户（在您的情况下是电子邮件地址）和密码
2. 基本身份验证：这里不需要单独的HTML页面。相反，浏览器直接显示一个弹出对话框，用户在其中输入其凭证
3. 摘要认证：非常罕见，spring不推荐。组织

再一次，从你的问题我得出结论，你想坚持表单登录。Spring为这种替代方案提供了许多选项，这些选项在上述文档中有详细介绍。

另一个好的起点是以下流行教程：

关于Spring Security表单登录的Baeldung教程

除了实现方面之外，在身份验证方法的问题中当然还有很多安全考虑：用户/密码身份验证被认为是一种相当不安全的身份验证形式，因为它需要用户和服务器之间交换秘密。更安全的表单是，例如，使用一次性密码或证书（例如，由浏览器处理的SSL客户端认证）。作为进一步阅读的起点，我可以建议：

上升堆栈-解释了Web身份验证方法

Port Swigger-身份验证漏洞