Jak mogę uzyskać nazwę użytkownika po nieudanym logowaniu za pomocą wiosennego zabezpieczenia?

Question

Używamy zabezpieczeń Spring 3.0.5, Java 1.6 i Tomcat 6.0.32. W naszym pliku konfiguracyjnego .xml mamy:

<form-login login-page="/index.html" default-target-url="/postSignin.html" always-use-default-target="true" 
authentication-failure-handler-ref="authenticationFailureHandler"/> 

i naszą authenticationFailureHandler zdefiniowany jako:

<beans:bean id="authenticationFailureHandler" class="org.springframework.security.web.authentication.ExceptionMappingAuthenticationFailureHandler"> 
    <beans:property name="exceptionMappings"> 
     <beans:props> 
    <beans:prop key="org.springframework.security.authentication.BadCredentialsException">/index.html?authenticationFailure=true</beans:prop> 
    </beans:props> 
    </beans:property> 
</beans:bean> 

Java

@RequestMapping(params={"authenticationFailure=true"}, value ="/index.html") 
    public String handleInvalidLogin(HttpServletRequest request) { 
     //... How can I get the username that was used??? 
     // I've tried: 
     Object username = request.getAttribute("SPRING_SECURITY_LAST_USERNAME_KEY"); 
     Object username = request.getAttribute("SPRING_SECURITY_LAST_USERNAME"); // deprecated 
    } 

więc jesteśmy kierowanie całą BadCredentialsExceptions do index.html i IndexController. W wersji IndexController chciałbym uzyskać username, który został użyty do nieudanej próby logowania. Jak mogę to zrobić?

Answer 1

OK, więc odpowiedź okazała się czymś niezwykle prostym, ale z tego, co wiem, nie omawianym ani nie udokumentowanym.

Oto wszystko, co musiałem zrobić (nie ma nigdzie tylko konfiguracje utworzone z tej klasy) ...

import org.apache.log4j.Logger; 
import org.springframework.context.ApplicationListener; 
import org.springframework.security.authentication.event.AuthenticationFailureBadCredentialsEvent; 
import org.springframework.stereotype.Component; 

@Component 
public class MyApplicationListener implements ApplicationListener<AuthenticationFailureBadCredentialsEvent> { 
    private static final Logger LOG = Logger.getLogger(MyApplicationListener.class); 

    @Override 
    public void onApplicationEvent(AuthenticationFailureBadCredentialsEvent event) { 
     Object userName = event.getAuthentication().getPrincipal(); 
     Object credentials = event.getAuthentication().getCredentials(); 
     LOG.debug("Failed login using USERNAME [" + userName + "]"); 
     LOG.debug("Failed login using PASSWORD [" + credentials + "]"); 
    } 
} 

jestem daleko od eksperta bezpieczeństwa wiosna więc jeśli ktoś to czyta i wie, z powodu shouldn Zrób to w ten sposób lub znasz lepszy sposób, który chciałbym o tym usłyszeć.

Answer 2

Zamiast tego można podać własną wersję DefaultAuthenticationEventPublisher i zastąpić metodę publishingAuthenticationFailure.

Answer 3

Znalazłem, że to działa dla mnie. Niestety, nadal nie znaleziono dokładnego położenia tego w dokumentach SpringSecurity:

W każdym działaniu, można sprawdzić ostatnio używane nazwy użytkownika (bez względu na logowanie się powiodło, czy nie):

String username = (String) request.getSession().getAttribute("SPRING_SECURITY_LAST_USERNAME"); 

Answer 4

zrobiłem to w ten sposób:

1. utworzono klasę, która rozciąga SimpleUrlAuthenticationFailureHandler

2. Overrid przy czym sposób onAuthenticationFailure, WH ich otrzymuje jako parametr parametr HttpServletRequest.

3. request.getParameter("username"), gdzie "username" to nazwa mojego wpisu w moim formularzu HTML.

Answer 5

Nie wydaje się być dużo informacji na temat tego rozwiązania, ale jeśli ustawisz failureForwardUrl w konfiguracji Wiosna Bezpieczeństwa, zostanie przekazany do strony błędu zamiast przekierowany. Następnie można łatwo pobrać nazwę użytkownika i hasło. Na przykład w config dodać: .and().formLogin().failureForwardUrl("/login/failed") (* URL musi być różny od adresu URL strony logowania)

A w kontrolerze logowania, co następuje:

@RequestMapping(value = "/login/failed") 
public String loginfailed(@ModelAttribute(UsernamePasswordAuthenticationFilter.SPRING_SECURITY_FORM_USERNAME_KEY) String user, @ModelAttribute(UsernamePasswordAuthenticationFilter.SPRING_SECURITY_FORM_PASSWORD_KEY) String password) { 
    // Your code here 
} 

SPRING_SECURITY_FORM_USERNAME_KEY, SPRING_SECURITY_FORM_PASSWORD_KEY są nazwy domyślne , ale możesz je również ustawić w formularzu Log View:

.and().formLogin().usernameParameter("email").passwordParameter("password").failureForwardUrl("/login/failed")