在身份验证之前检查用户启用状态-Spring Security

Question

在loadByUserName（）方法中，我通过邮件找到用户。目前，我的用户类使用isEnabled（）方法实现UserDetails，以检查用户是否已启用。然而，在身份验证之前会检查这个启用标志，这样任何人都可以发现另一个用户的帐户是否启用，无论使用什么密码。有没有办法在身份验证后检查启用标志？

我的用户类：

@Entity
public class User implements UserDetails {

    @Column(name = "ativo")
    private Boolean ativo;

    //... some attributes, getters and setters

    @Override
    public boolean isEnabled() {
        if(this.ativo){
            return true;
        }else{
            return false;
        }
    }
}

My loadUserByUsername（）方法：

@Override
public User loadUserByUsername(String mail) {
    List<User> users = manager.findUserByMail(String mail);

    if (pessoas.isEmpty()) {
        throw new RuntimeException("User not found!");
    } 
    return users.get(0);
}

我更改了默认消息，以防凭据不良或用户禁用：

messages.properties：

AbstractUserDetailsAuthenticationProvider.badCredentials = Mail/Password is incorrect!
AbstractUserDetailsAuthenticationProvider.disabled = User disabled!

Answer 1

我想用一种你不仅可以在这种情况下，而且可以在其他类似情况下使用的方式来回答这个问题。

应用程序的用户如何理解代码中发生了什么？他对您的代码一无所知，但我们（作为开发人员）是那个告诉他们场景后面发生了什么以及首先使用消息执行哪个方法的人。属性。

如果您不通知他们，他们就无法知道先执行哪个方法。因此，您可以将这两个属性更改为相同的消息，例如“密码不正确”。

这正是Linux操作系统中发生的事情，当你想用不存在的用户名登录时，linux不会告诉你用户不存在，即使用户不存在，它也会让你输入密码，然后通知你密码不正确。因为通常我们不应该给做恶意行为的人额外的信息。一般来说，这种信息对开发人员和监控目的非常有用。所以你应该想办法记录这种信息以备将来使用，但不要向用户展示。