Spring Security：LockedException被抛出而不是BadCreentalsException，为什么？

Question

使用Spring Security 4.0.2。发布

对于使用Spring Security框架的基本用户身份验证，我实现了Spring Security性DaoAuthenticationProvider

当用户尝试使用正确的用户名登录时，错误的密码和用户的帐户已被锁定，那么我预计Spring Security身份验证模块将引发BadCredentialsException，但它会引发LockedException

我的问题是

1. 为什么spring-Security正在处理用户以进行进一步身份验证，而凭据（特别是密码）不正确？
2. 即使用户的密码无效，在应用程序中显示“User is Locked”的消息是否是好的做法？
3. 如何管理为无效密码和锁定用户生成/catBadCreentalsException？

任何帮助都将不胜感激。身份验证提供程序实现代码为

@Component("authenticationProvider")
public class LoginAuthenticationProvider extends DaoAuthenticationProvider {

    @Autowired
    UserDAO userDAO;

    @Autowired
    @Qualifier("userDetailsService")
    @Override
    public void setUserDetailsService(UserDetailsService userDetailsService) {
        super.setUserDetailsService(userDetailsService);
    }

    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        try {
            Authentication auth = super.authenticate(authentication);
            // if reach here, means login success, else exception will be thrown

            // reset the user attempts
            userDAO.resetPasswordRetryAttempts(authentication.getName());

            return auth;
        } catch (BadCredentialsException ex) {
            // invalid login, update user attempts
            userDAO.updatePasswordRetryAttempts(authentication.getName(), PropertyUtils.getLoginAttemptsLimit());
            throw ex;
        } catch (LockedException ex) {
            // this user is locked
            throw ex;
        } catch (AccountExpiredException ex) {
            // this user is expired
            throw ex;
        } catch (Exception ex) {
            ex.printStackTrace();
            throw ex;
        }
    }

}

Answer 1

您问：

Spring Security：LockedException被抛出而不是BadCreentalsException，为什么？

这是因为Spring Security会首先检查帐户是否存在且有效，然后检查密码。

更具体地说：它是在AbstractUserDetailsAuthenticationProvider中完成的。验证。在非常简短的描述中，该方法的工作方式如下：

user = retrieveUser(username, (UsernamePasswordAuthenticationToken) authentication);
...
preAuthenticationChecks.check(user);
additionalAuthenticationChecks(user, (UsernamePasswordAuthenticationToken) authentication);
...
postAuthenticationChecks.check(user);

• <代码>检索用户-加载用户

好的一点是，预验证检查和后验证检查都是对接口的引用，因此您可以对其进行更改。只需实现您自己的两个UserDetailsChecker，一个为空的pre实现，另一个为检查所有内容的post实现：

• <代码>！使用者isAccountNonLocked（）