根据数据库中的用户记录通过事件侦听器锁定帐户

Question

我的问题类似于如何在 Spring 安全性中限制登录尝试？
问题是在遵循最近高票答案之后 https://stackoverflow.com/a/35294221/1278112

以下代码是我的方法。

@Component
public class AuthenticationEventListener {

    @Autowired
    private UserDetailsManager userDetailsManager;

    private static final Logger LOGGER = LoggerFactory.getLogger(AuthenticationEventListener.class);

    Set<RequestLimitRule> rules = Collections.singleton(RequestLimitRule.of(10, TimeUnit.MINUTES, 3)); // 3 request per 10 minute, per key
    RequestRateLimiter limiter = new InMemorySlidingWindowRequestRateLimiter(rules);

    @EventListener
    public void authenticationSuccess(AuthenticationSuccessEvent event) {
        String username = (String) event.getAuthentication().getName();
        if (!limiter.overLimitWhenIncremented(username)) {
            limiter.resetLimit(username);
        }
    }

    @EventListener
    public void authenticationFailed(AuthenticationFailureBadCredentialsEvent event) {
        String username = (String) event.getAuthentication().getPrincipal();
        boolean reachLimit = limiter.overLimitWhenIncremented(username);

        if (reachLimit) {
            User user = (User) userDetailsManager.loadUserByUsername(username);
            //User is security.core.userdetails.User
            user = (User) User.builder().username(user.getUsername()).accountExpired(!user.isAccountNonExpired())
                    .accountLocked(true).disabled(!user.isEnabled()).password(user.getPassword())
                    .authorities(user.getAuthorities()).build();
            userDetailsManager.updateUser(user);
        }
    }
}

它会抛出 UserNameNotFoundException 而不是 LockedException，发现 InMemoryUserDetailsManager 默认@Autowired，假设它没有用户信息。

由于用户信息存储在数据库中，因此尝试使用 JdbcUserDetailsManager 替换 InMemoryUserDetailsManager，但它允许在故障转移限制器后尝试登录。
在检查了JdbcUserDetailsManager的源代码后，我发现其中的updateUser（）不会跟踪AccountNonLock属性。

@Ron Winch on Spring Security的答案：按名称注销，锁定或禁用用户

您还需要知道如何锁定帐户。Spring 安全性提供了一种支持锁定帐户的机制。

您可以使用 UserDetailsManager 实现来更新 UserDetails，以返回 false 表示 isAccountNonLocked。然后，Spring Security的DaoAuthenticationProvider将利用preAuthenticationChecks来确保帐户不会被锁定。

如果您编写了自己的 UserDetailsService，则内置的 UserDetailsManager 实现将不起作用，因此您需要更新您的用户模型，以便自定义 UserDetailsService 创建一个 UserDetailsService，该 UserDetailsService 返回 false 表示 isAccountNonLocked。

因此，使用自定义用户详细信息管理器实现来更新用户详细信息。它将更改记录数据库。但同样，当故障转移限制器时，它什么也不做。

搜索后，Spring Security 中的答案：LockedException 被抛出而不是 BadCredentialsException，为什么？指

默认预身份验证检查：检查锁定...

到达 spring 安全参考后发现有一个 DaoAuthenticationProvider。

我是否必须以某种方式配置才能使其与自定义用户详细信息管理器一起使用？
还是有其他更好的途径来解决它？
提前谢谢。

Answer 1

@Ron 绞盘说得很对

您可以使用 UserDetailsManager 实现来更新 UserDetails，以返回 false 表示 isAccountNonLocked。然后，Spring Security的DaoAuthenticationProvider将利用preAuthenticationChecks来确保帐户不会被锁定。

但是，InMemoryUserDetailsManager和JdbcUserDetailsManager不适合我。

所以我实现了UserDetailsService而不是UserDetailsManager

如果您编写了自己的 UserDetailsService，则内置的 UserDetailsManager 实现将不起作用，因此您需要更新您的用户模型，以便自定义 UserDetailsService 创建一个 UserDetailsService，该 UserDetailsService 返回 false 表示 isAccountNonLocked。

并通过 AuthenticationManagerBuilder 将其注入 AuthenticationManager。

public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
@Autowired
private UserDetailsService userDetailsService;

@Autowired
public void configAuthentication(AuthenticationManagerBuilder auth) throws Exception {
    auth.userDetailsService(userDetailsService).passwordEncoder(NoOpPasswordEncoder.getInstance());

    ....
}

UserDetailsServiceImpl的相关部分.java

@Service
public class UserDetailsServiceImpl implements UserDetailsService {
    ....

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        //the custom implemetation
    }
}