Spring Security - 自定义登录表单未在提交时调用 AuthenticationProvider

Posted 2023-02-16

技术标签:

【中文标题】Spring Security - 自定义登录表单未在提交时调用 AuthenticationProvider【英文标题】：Spring Security - Custom login form not calling the AuthenticationProvider on submit 【发布时间】：2017-09-19 00:33:55 【问题描述】：

已解决：

Spring Security 4 似乎不再提供默认的登录处理 URL。我们现在必须在 form-login 中明确提供它，如下所示。

login-processing-url="/j_spring_security_check"

我有一种奇怪的行为组合，让我很困惑。找到了很多教程和类似的问题，但没有一个完全像这样。我希望有人可以提供帮助。

短版：重新显示登录页面 - 无论用户名/密码好坏，并且永远不会调用 AuthenticationProvider（断点未触发）。

加长版：

第 1 步 - 成功

我能够使用带有默认 AuthenticationProvider 和默认自动生成的登录屏幕的 Spring Security。很好。我能够编写自定义 AuthenticationProvider 和 UserDetailsService。使用默认的自动生成的登录屏幕，一切正常。很好。 ...所以上述排除了很多可能的问题。

第 2 步 - 问题 - 设置为使用自定义登录表单

1）我添加了表单登录：

<sec:form-login 
login-processing-url="/j_spring_security_check"
login-page="/login.htm"
authentication-failure-url="/login.htm?error" 
username-parameter="username"
password-parameter="password" 
/>
<sec:logout logout-success-url="/login.htm?logout"/>
<sec:csrf/>

2) 我确保可以访问登录 URL：

<sec:intercept-url pattern="/login.htm"      access="permitAll" />

3) 我创建了一个简单的 LoginController：

@Controller
public class LoginController 

@RequestMapping(value="/login.htm")
public ModelAndView login(HttpServletRequest request,
  @RequestParam(value="error", required=false) String error,
  @RequestParam(value="logout",required=false) String logout) 
  ModelAndView model = new ModelAndView();
  if(error!=null) 
    model.addObject("error", "Invalid username or password.");
  
  if(logout!= null) 
    model.addObject("msg", "Successfully logged out.");
  
  model.setViewName("/login");
  return model;

4) 我创建了一个简单的 login.jsp：

<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core"%>
<html>
<head>
<title>Login</title>
</head>
<body onload="document.loginForm.username.focus()">
  <h1>Login form</h1>
  <div>
    <h2>Username and Password</h2>
    <c:if test="$not empty error">
      <div style="color: red">$error</div>
    </c:if>
    <c:if test="$not empty msg">
      <div style="color: green">$msg</div>
    </c:if>

    <form name="loginForm" action="<c:url value='j_spring_security_check' />" method='POST'>
      <table>
        <tr>
          <td>User:</td>
          <td><input type='text' name='username' value = '' /></td>
        </tr>
        <tr>
          <td>Password:</td>
          <td><input type='password' name='password' /></td>
        </tr>
        <tr>
          <td colspan='2'><input name="submit" type="submit" value="submit" /></td>
        </tr>
        <tr><td colspan='2'>[$not empty webUser]</td></tr>
      </table>
      <input type="hidden" name="$_csrf.parameterName" value="$_csrf.token" />
    </form>
  </div>
</body>
</html>

5) 然后我在 Eclipse 中设置了一些断点来查看它的行为。

登录页面显示正常。我输入用户名和密码并点击提交。用户名和密码的好坏都会导致相同的行为，即重新显示登录页面。 AuthenticationProvider 中的断点永远不会被触发。

我的解释是指定的动作没有触发AuthenticationProvider。

请注意，当我使用内置的默认 spring 安全登录表单时，相同的自定义 AuthenticationProvider 可以完美运行。这告诉我这个问题与提供者本身无关，而是当我在 login.jsp 中点击提交时“到达它”，特别是因为我在它的第一行有一个断点并且它没有被触发。

我敢打赌，对于熟悉 Spring Security 的人来说，我的错误是微不足道且显而易见的。提前感谢任何发现它的人。

【问题讨论】：

【参考方案1】：

这个问题已经解决了。

Spring Security 4 似乎不再提供默认的登录处理 URL。我们现在必须在 form-login 中明确提供它，如下所示。

在我的头撞墙好几个小时后，我偶然发现了解决方案。我希望这对处于相同情况的其他人有所帮助。

【讨论】：

以上是关于Spring Security - 自定义登录表单未在提交时调用 AuthenticationProvider的主要内容，如果未能解决你的问题，请参考以下文章