Spring Security 3.1.1-定制登录成功问题

Question

我是Spring Security的新手，我一直在阅读API和Javadocs，我相信我需要关于我的问题的帮助。

到目前为止，根据反复试验，我观察到的是抛出一个异常，提示authenticate方法自动重定向到登录失败处理程序。从那里，可以很容易地重定向和自定义失败身份验证的流程。然而，在成功登录时，除了HttpServletRequest、HttpServletResponse和身份验证对象之外，我似乎无法向登录成功处理程序传递任何信息。

我的登录成功有两种情况：

>

新用户登录应重定向到更改密码页面。

以下是一些问题：

>

在这种情况下调用request.setParameter（"status"，"FOR_CHANGE_PASSWORD"）可以吗？安全吗？

我应该添加“更改密码”权限吗？这是好的做法吗？

我的问题是，我不想在我的LoginAuthenticator中调用userService方法，然后在我的Login Success处理程序中再次调用它，只是为了检索用户的状态。有什么解决办法吗？

public class LoginAuthenticator implements AuthenticationProvider{
private static final Logger log = LoggerFactory.getLogger(LoginAuthenticator.class);
private static final List<GrantedAuthority> AUTHORITIES = new ArrayList<GrantedAuthority>();
@Autowired
UserService userService;

@Override
public Authentication authenticate(Authentication authentication)
        throws AuthenticationException {
    log.info("Authenticating...");   

    log.debug("Username: {}" , authentication.getPrincipal());
    log.debug("Password: {}" , (String) authentication.getCredentials()); 


    WSResponse response = userService.authenticateLogin(username, password);


    //User log-in failure
    if(response.getResponseCode != 200){  

          if(response.getResponseStatus.equals("BAD CREDENTIALS")){
             throw new BadCredentialsException("Bad Credentials");  
          }
          else{
             throw new AccountStatusException("Account is locked")
          } 
    } 
    else{
        log.info("User credentials are valid... logging in");
        AUTHORITIES.add(new SimpleGrantedAuthority("USER"));
        return new UsernamePasswordAuthenticationToken(authentication.getPrincipal(),          (String) authentication.getCredentials(), AUTHORITIES);

    } 


}

任何更多的建议将是伟大的。

Answer 1

典型的方法是将有关登录用户的所有必要信息存储在其Authentication中。

例如，标准的AuthenticationProviders，比如DaoAuthenticationProvider在成功的身份验证后，在构建Authentication对象时，将UserDetails的实现存储为主体，应用程序开发人员可以提供自己的UserDetails子类，其中包含必要的信息。你可以用同样的方式实现它。