Spring Security 中如何讓用戶名不存在的錯誤顯示出來（用戶名不存在顯示Bad credentials）

本文轉載自查看原文 2012-06-09 11:04 28476

默認情況下，不管你是用戶名不存在，密碼錯誤，SS都會報出Bad credentials異常信息，而不現實具體的錯誤。翻源碼發現在org.springframework.security.authentication.dao.AbstractUserDetailsAuthenticationProvider有如下這段代碼。

try {
    user = retrieveUser(username, (UsernamePasswordAuthenticationToken) authentication);
} catch (UsernameNotFoundException notFound) {
    logger.debug("User '" + username + "' not found");

     if (hideUserNotFoundExceptions) {
         throw new BadCredentialsException(messages.getMessage(
                "AbstractUserDetailsAuthenticationProvider.badCredentials", "Bad credentials"));
    } else {
         throw notFound;
    }
}

而該抽象類的hideUserNotFoundExceptions屬性默認為false，所以默認就會隱藏掉用戶名不存在的錯誤。

網上有人說改源碼，然后再打包編譯，太暴力了，通過配置SS的applicationContext很容易修改這個屬性。

對於SS認證管理器，你原來可能是這么配置的：

< security:authentication-manager alias ="authenticationManager" >
     < security:authentication-provider
         user-service-ref ="customUserDetailsService" >
     </ security:authentication-provider >
</ security:authentication-manager >

剛才那個抽象類的一個實現類，org.springframework.security.authentication.dao.DaoAuthenticationProvider即是authentication-provider默認會使用的類，修改這部分如下：

< security:authentication-manager alias ="authenticationManager" >
     < security:authentication-provider
         ref ="authenticationProvider" >
     </ security:authentication-provider >
</ security:authentication-manager >

< bean id ="authenticationProvider" class ="org.springframework.security.authentication.dao.DaoAuthenticationProvider" >
     < property name ="userDetailsService" ref ="customUserDetailsService" />
     < property name ="hideUserNotFoundExceptions" value ="false" />
</ bean >

密碼策略：

< authentication-manager alias ="MyAuthenticationManager" >
         < authentication-provider ref ="authenticationProvider" >
         </ authentication-provider >
     </ authentication-manager >

     < beans:bean id ="authenticationProvider"
        class ="org.springframework.security.authentication.dao.DaoAuthenticationProvider" >
         < beans:property name ="userDetailsService" ref ="userDetailService" />
         
         < beans:property name ="hideUserNotFoundExceptions" value ="false" />
         < beans:property name ="passwordEncoder" ref ="UTPasswordEncoder" />
     </ beans:bean >

免責聲明！

本站轉載的文章為個人學習借鑒使用，本站對版權不負任何法律責任。如果侵犯了您的隱私權益，請聯系本站郵箱yoyou2525@163.com刪除。

猜您在找 Python：判斷文本中的用戶名在數據庫中是否存在，存在返回1，不存在返回0 實現用戶注冊，要求輸入用戶名之后，焦點離開判斷用戶名是否存在，如果存在給出提示，不存在允許注冊改用戶。要求使用AJAX oracle scott用戶不存在 PHP檢測用戶名是否存在異步校驗用戶名是否存在校驗用戶名是否存在 ajax 驗證用戶名是否存在 jmete測試登錄接口，用戶名和密碼都對了，就是顯示用戶名和密碼錯誤。 react native props上存在的屬性，顯示不存在滲透測試人員發現用戶可無限輸入密碼次數，超過5次未鎖定用戶，存在暴力破解風險。解放方案:限制每個輸入的用戶名（不管存不存在該賬戶）登陸失敗次數不超過5次，超過則鎖定該用戶