多个身份验证提供程序：如果身份验证失败，请不要委派

Question

我正在尝试在Spring身份验证服务器（Spring Security）中配置多个身份验证提供程序（主要和次要）

根据“身份验证”方法留档：

返回：包含凭据的完全经过身份验证的对象。如果AuthenticationProvider无法支持对传递的身份验证对象的身份验证，则可能返回null。在这种情况下，将尝试下一个支持提供的身份验证类的AuthenticationProvider。

如果身份验证失败，则抛出：身份验证html" target="_blank">异常。

基于此，我在主提供程序上实现了authenticate方法，如下所示（我将省略SecondaryAuthProvider实现）：

//PrimaryAuthProvider.class
public Authentication authenticate(Authentication authentication) {
    var user = authServices.getLdapUser(authentication.getName());

    //log and let the next provider handle it
    if (user == null) {
        logServices.userNotFound(new LogServices.AuthFailure(authentication.getName()));             
        return null;
    }

    if (passwordMatches(authentication.getCredentials(), user.getStringPassword())) {
        return authenticatedToken(user);
    } else {
        logServices.authFailure(new LogServices.AuthFailure(authentication.getName()));
        throw new BadCredentialsException("Invalid password");
    }
}

在WebSecurity中，我还注入了我的提供商：

protected void configure(AuthenticationManagerBuilder auth) {
    auth.authenticationProvider(primaryAuthProvider);
    auth.authenticationProvider(secondaryAuthProvider);
}

这将正确处理问题，如果：

• 无论提供商如何，用户都被告知正确的登录名/密码。
• 无论密码是否正确，都无法在主提供程序上找到用户。

如果在主提供程序上找到用户，并且其密码错误，则会抛出BadCredentialsException，但服务器仍将委托给辅助提供程序，并且最终的消息将是“user not found”，这具有误导性。

我以为BadCredentialsException会完成身份验证链并向客户机/用户报告，但事实似乎并非如此。

我错过了什么吗？

Answer 1

好吧，我想起来了。

Provider Manager是服务器上使用的默认身份验证管理器。如果发生AuthenticationException，它的身份验证方法实际上会委托给下一个提供者：

for (AuthenticationProvider provider : getProviders()) {
    if (!provider.supports(toTest)) {
        continue;
    }

    //(...)

    try {
        result = provider.authenticate(authentication);

        if (result != null) {
            copyDetails(authentication, result);
            break;
        }
    }
    catch (AccountStatusException | InternalAuthenticationServiceException e) {
        prepareException(e, authentication);
        // SEC-546: Avoid polling additional providers if auth failure is due to
        // invalid account status
        throw e;
    } catch (AuthenticationException e) {
        lastException = e;
    }
}

我发现了两种方法。

第一个：如果身份验证失败，请在主提供程序上提供未经身份验证的令牌，并且不要引发任何异常：

//PrimaryAuthProvider.class
public Authentication authenticate(Authentication authentication) throws AuthenticationException {
    var user = authServices.getLdapUser(authentication.getName());

    if (user == null) return null;

    if (passwordMatches(authentication.getCredentials(), user.getStringPassword())) {
        return authenticatedToken(user);
    } else {        
        return unauthenticatedToken(user);
    }
}

private UsernamePasswordAuthenticationToken unauthenticatedToken(LdapUser user)   {
        //Using 2 parameter constructor => authenticated = false 
        return new UsernamePasswordAuthenticationToken(
            user.getLogin(),
            user.getStringPassword(),
        );
}

这有一个用英语显示默认消息的缺点。我需要在其他地方拦截异常并用葡萄牙语抛出一个新的异常。

第二个（希望我使用）：将我自己的AuthorizationManager实现为ProviderManager的一个较小版本。这一条不会试图捕捉提供商发起的异常：

public class CustomProviderManager implements AuthenticationManager {
    private final List<AuthenticationProvider> providers;

    public CustomProviderManager(AuthenticationProvider... providers) {
        this.providers = List.of(providers);
    }

    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        for (var provider : providers) {
            if (!provider.supports(authentication.getClass())) continue;

            //let exceptions go through
            var result = provider.authenticate(authentication); 
            if (result != null) {
                return result;
            }
        }

        throw new ProviderNotFoundException(
            "No provider for " + authentication.getName()
        );
    }
}

然后，在WebSecurityConfig：

@Bean(BeanIds.AUTHENTICATION_MANAGER)
@Override
public AuthenticationManager authenticationManagerBean() throws Exception {
    return authenticationManager();
}

@Override
protected AuthenticationManager authenticationManager() {
    return new CustomProviderManager(primaryAuthProvider, secondaryAuthProvider);
}


// Don't need it anymore
//    @Override
//    protected void configure(AuthenticationManagerBuilder auth) {
//        auth.authenticationProvider(authenticationProvider);
//        auth.authenticationProvider(secondaryAuthProvider);
//    }

第二个需要更多的编码，但给了我更多的控制权。