Spring Boot安全-多个身份验证提供程序

Question

我的问题是，我希望有两个身份验证提供商

之前：我有我的UserDetailServiceImpl，我根据数据库中的数据验证了用户的身份（不确定是哪个提供者）

现在：我使用了ActiveDirectoryLdapAuthentiation提供程序，如下所示

  @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        super.configure(auth);
        auth.authenticationProvider(activeDirectoryLdapAuthenticationProvider()).userDetailsService(userDetailService);
    }

    @Bean
    public AuthenticationManager authenticationManager() {
        return new ProviderManager(Arrays.asList(activeDirectoryLdapAuthenticationProvider()));
    }
    @Bean
    public AuthenticationProvider activeDirectoryLdapAuthenticationProvider() {
       MyActiveDirectoryLdapAuthenticationProvider provider = new MyActiveDirectoryLdapAuthenticationProvider(domain, url, rootDN);
        provider.setConvertSubErrorCodesToExceptions(true);
        provider.setUseAuthenticationRequestCredentials(true);

        return provider;
    }

我成功了，所以我可以认证。

问题是：

1. 我现在无法再使用数据库用户登录，现在只有LDAP。
2. 未使用UserDetailsService，因此用户具有哪个角色？
3. 有没有办法为LDAP认证用户添加一些默认角色？

那么，如何同时启用这两个提供商呢？如何向用户添加角色，通过LDAP身份验证。供应商？

我也非常感谢对这里发生的事情的“大局”描述（在引擎盖下）。这里使用的每个类的作用是什么，它是如何工作的还不清楚（AuthentiationManager、AuthentiationManagerBuilder、AuthentiationProvider等）也许它只是被自动配置等隐藏了，但即使直接查看Spring Security也不会让我变得更聪明。

谢谢你的提示

更新此代码似乎工作正常

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.authenticationProvider(activeDirectoryLdapAuthenticationProvider()).userDetailsService(userDetailService);
    }

    public AuthenticationProvider activeDirectoryLdapAuthenticationProvider() {
        MyActiveDirectoryLdapAuthenticationProvider provider = new MyActiveDirectoryLdapAuthenticationProvider(domain, url, rootDN);
        provider.setConvertSubErrorCodesToExceptions(true);
        provider.setUseAuthenticationRequestCredentials(true);
        provider.setAuthoritiesMapper(new SimpleAuthorityMapper());
        return provider;
    }

Answer 1

问题太多了！

这两个提供程序都已启用，因为您将它们都添加到AuthenticationManagerBuilder。但将它们添加到同一个过滤链中，并且都接受相同类型的身份验证作为输入，因此其中一个总是屏蔽另一个。

标准的LdapAuthenticationProvider有一个authoritiesMapper，您可以使用它将权限从目录条目映射到用户（通常是使用目录组直接完成的，例如，参见示例）。我想如果你的目录不包含组，你可以让所有用户拥有相同的权限，或者使用自定义映射器。

您的@Beans类型AuthenticationManager和AuthenticationProvider看起来有点多余（而且可能有害，因为它们是全局的，您正在为单个筛选器链配置AuthenticationManagerBuilder）。我怀疑你根本不需要AuthenticationManager方法，而另一个不需要是公共的或@Bean（可能）。