Spring安全4 2FA

Question

因此，我正在尝试保护我使用Spring mvc和安全构建的Web应用程序。我目前拥有来自正常自定义登录页面的基本用户名和密码，该页面使用自定义身份验证提供程序工作，以提供针对数据库进行验证的填充身份验证对象。我想知道的是如何实现使用TOTP的第二阶段登录？我可以让TOTP发布和验证工作，但不确定如何修改Spring Security以通过在我指定的登录页面以外的页面上提交令牌的表单来接受对授权的更改。

Answer 1

所以基本上我最终使用的是authy api(http://docs.authy.com/)进行TOTP交付和验证。初次登录后，我授予他们角色\u PRE_AUTH，然后将他们发送到受保护的页面以处理TOTP。然后我用

        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        List<GrantedAuthority> authorities = new ArrayList<GrantedAuthority>(auth.getAuthorities());
        authorities.add(new SimpleGrantedAuthority("ROLE_USER"));
        Authentication newAuth = new UsernamePasswordAuthenticationToken(auth.getPrincipal(), auth.getCredentials(), authorities);
        SecurityContextHolder.getContext().setAuthentication(newAuth);

一旦我验证了用户有有效的TOTP，就为他们更新角色。