Spring boot基本身份验证用户名未验证

Question

@Value("${username}")
    String username;

    @Value("${password}")
    String password;

    @Override
    public void init(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService());
    }

    @Bean
    public UserDetailsService userDetailsService() {
        return new UserDetailsService() {

            @Override
            public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
                return new User(username, password, true, true, true, true,
                        AuthorityUtils.createAuthorityList("USER"));
            }
        };
    }

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests().anyRequest().fullyAuthenticated().and().
    httpBasic().and().
    csrf().disable();
} 

我尝试postman使用用户名和密码连接到我的一个web服务，每次更改用户名时，即使用户名与我放在属性文件中的用户名不相同，请求也会被验证

Answer 1

这是因为您在所有情况下都返回用户对象，而没有与参数中接收的对象进行任何检查。请尝试以下代码：

@Value("${username}")
    String username;

    @Value("${password}")
    String password;

    @Override
    public void init(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService());
    }

    @Bean
public UserDetailsService userDetailsService() {
    return new UserDetailsService() {

        @Override
        public UserDetails loadUserByUsername(String name) throws UsernameNotFoundException {
            if(name.equals(username)){
                return new User(username, password, true, true, true, true,
                    AuthorityUtils.createAuthorityList("USER"));
            }else{
                throw new UsernameNotFoundException("Could not find the user '" + name + "'");
            }

        }
    };
}

更新

用户将不使用任何密码验证，而只使用在loadUserByUsername（）方法中创建用户时使用的密码。在此方法中，您只通过username查找用户并返回，这里不进行身份验证，而是由spring在内部进行身份验证，它将您在创建用户（并返回）时传递的密码与您在请求中传递的密码相匹配。它还验证您正在访问的url的用户角色，如果url映射为任何特定角色，则具有该角色的用户将被授予访问权限，对于任何其他角色，它将发送访问拒绝响应。因此，它不会使用任何密码对用户进行身份验证。