• • 已关闭**。此问题需要超过focused。当前不接受答案。
• • 想要改进此问题吗？**更新此问题，使其仅关注editing this post的一个问题。

七年前就关门了。
Improve this question
在一个使用Spring Security的Spring MVC应用程序中，我想使用一个定制的AuthenticationProvider来检查默认username和password之外的n个附加字段。例如，如果一个用户想进行身份验证，我想让她在用户名和密码的后面加上一个通过电子邮件接收到的pin码、一个通过文本接收到的pin码、和n个其他凭据。但是，为了缩小这个问题的范围，让我们只关注向登录添加一个额外的pin，但让我们以一种使我们能够在以后轻松添加n个其他凭据的方式设置它。
我想使用Java配置。
我已经创建了一个定制的AuthenticationProvider、一个定制的AuthenticationFilter、定制的UserDetailsService，以及一些其他更改。
但是，无论用户是否拥有有效凭据，当用户尝试登录时，应用都会授予访问权限，如下面重现问题的说明中的屏幕截图所示。需要对我分享的代码进行哪些具体更改，才能使自定义n因子身份验证正常工作？
我的测试项目的结构如下面的屏幕截图所示：
下面是Eclipse项目资源管理器中的Java代码结构：
{映像主机不可用}
可以通过在项目资源管理器中向下滚动找到XML配置文件，以显示以下内容：
{映像主机不可用}
视图代码可以通过在项目浏览器中向下滚动找到，如下所示：
{映像主机不可用}
您可以下载所有这些代码，并在一个正在工作的Eclipse项目中进行研究：
{文件已删除}
CustomAuthenticationProvider.java为：

package my.app.config;

import java.util.ArrayList;
import java.util.List;
import org.springframework.security.authentication.AuthenticationProvider;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;

public class CustomAuthenticationProvider implements AuthenticationProvider{

    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        String name = authentication.getName();
        String password = authentication.getCredentials().toString();
        List<GrantedAuthority> grantedAuths = new ArrayList<>();
        if (name.equals("admin") && password.equals("system")) {
            grantedAuths.add(new SimpleGrantedAuthority("ROLE_ADMIN"));  
        } 
        if(pincodeEntered(name)){
            grantedAuths.add(new SimpleGrantedAuthority("registered"));  
        }
        Authentication auth = new UsernamePasswordAuthenticationToken(name, password, grantedAuths);
        return auth;
    }

    @Override
    public boolean supports(Class<?> authentication) {
        return authentication.equals(UsernamePasswordAuthenticationToken.class);
    }

    private boolean pincodeEntered(String userName){
        // do your check here
        return true;
    }
}

MessageSecurityWebApplicationInitializer.java为：

package my.app.config;

import org.springframework.core.annotation.Order;
import org.springframework.security.web.context.AbstractSecurityWebApplicationInitializer;

@Order(2)
public class MessageSecurityWebApplicationInitializer extends AbstractSecurityWebApplicationInitializer {
}

TwoFactorAuthenticationFilter.java为：

package my.app.config;

import javax.servlet.http.HttpServletRequest;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;

public class TwoFactorAuthenticationFilter extends UsernamePasswordAuthenticationFilter
{
    private String extraParameter = "extra";
    private String delimiter = ":";

    /**
     * Given an {@link HttpServletRequest}, this method extracts the username and the extra input
     * values and returns a combined username string of those values separated by the delimiter
     * string.
     *
     * @param request The {@link HttpServletRequest} containing the HTTP request variables from
     *   which the username client domain values can be extracted
     */
    @Override
    protected String obtainUsername(HttpServletRequest request){
        String username = request.getParameter(getUsernameParameter());
        String extraInput = request.getParameter(getExtraParameter());
        String combinedUsername = username + getDelimiter() + extraInput;
        System.out.println("Combined username = " + combinedUsername);
        return combinedUsername;
    }

    /**
     * @return The parameter name which will be used to obtain the extra input from the login request
     */
    public String getExtraParameter(){
        return this.extraParameter;
    }

    /**
     * @param extraParameter The parameter name which will be used to obtain the extra input from the login request
     */
    public void setExtraParameter(String extraParameter){
        this.extraParameter = extraParameter;
    }

    /**
     * @return The delimiter string used to separate the username and extra input values in the
     * string returned by <code>obtainUsername()</code>
     */
    public String getDelimiter(){
        return this.delimiter;
    }

    /**
     * @param delimiter The delimiter string used to separate the username and extra input values in the
     * string returned by <code>obtainUsername()</code>
     */
    public void setDelimiter(String delimiter){
        this.delimiter = delimiter;
    }
}

SecurityConfig.java为：

package my.app.config;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.AuthenticationProvider;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.config.annotation.web.servlet.configuration.EnableWebMvcSecurity;

@Configuration
@EnableWebMvcSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    public void registerGlobalAuthentication(AuthenticationManagerBuilder auth) throws Exception {
            auth.authenticationProvider(customAuthenticationProvider());
    }

    @Bean
    AuthenticationProvider customAuthenticationProvider() {
            CustomAuthenticationProvider impl = new CustomAuthenticationProvider();
            return impl ;
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .formLogin()
                .loginPage("/login")
                .defaultSuccessUrl("/secure-home")
                .usernameParameter("j_username")
                .passwordParameter("j_password")
                .loginProcessingUrl("/j_spring_security_check")
                .failureUrl("/login")
                .permitAll()
                .and()
            .logout()
                .logoutUrl("/logout")
                .logoutSuccessUrl("/login")
                .and()
            .authorizeRequests()
                .antMatchers("/secure-home").hasAuthority("registered")
                .antMatchers("/j_spring_security_check").permitAll()
                .and()
            .userDetailsService(userDetailsService());
    }
}

User.java为：

package my.app.model;

import java.util.ArrayList;
import java.util.Collection;
import java.util.HashSet;
import java.util.Set;

import javax.persistence.CascadeType;
import javax.persistence.Column;
import javax.persistence.Entity;
import javax.persistence.FetchType;
import javax.persistence.GeneratedValue;
import javax.persistence.Id;
import javax.persistence.JoinColumn;
import javax.persistence.JoinTable;
import javax.persistence.ManyToMany;
import javax.persistence.Table;

import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.userdetails.UserDetails;

@Entity
@Table(name="users")
public class User implements UserDetails{

    private static final long serialVersionUID = 1L;

    @Id
    @GeneratedValue
    private Integer id;

    @Column(name= "email", unique=true, nullable=false)
    private String login;//must be a valid email address

    @Column(name = "password")
    private String password;

    @Column(name = "phone")
    private String phone;

    @Column(name = "pin")
    private String pin;

    @Column(name = "sessionid")
    private String sessionId;

    @ManyToMany(cascade=CascadeType.ALL, fetch=FetchType.EAGER)
    @JoinTable(name="user_roles",
        joinColumns = {@JoinColumn(name="user_id", referencedColumnName="id")},
        inverseJoinColumns = {@JoinColumn(name="role_id", referencedColumnName="id")}
    )
    private Set<Role> roles;

    public Integer getId() {return id;}
    public void setId(Integer id) { this.id = id;}

    public String getPhone(){return phone;}
    public void setPhone(String pn){phone = pn;}

    public String getPin(){return pin;}
    public void setPin(String pi){pin = pi;}

    public String getSessionId(){return sessionId;}
    public void setSessionId(String sd){sessionId = sd;}

    public String getLogin() {
        return login;
    }

    public void setLogin(String login) {
        this.login = login;
    }

    public String getPassword() {
        return password;
    }

    public void setPassword(String password) {
        this.password = password;
    }

    //roles methods
    public void addRole(Role alg) {roles.add(alg);}
    public Set<Role> getRoles(){
        if(this.roles==null){this.roles = new HashSet<Role>();}
        return this.roles;
    }
    public void setRoles(Set<Role> alg){this.roles = alg;}
    public boolean isInRoles(int aid){
        ArrayList<Role> mylgs = new ArrayList<Role>();
        mylgs.addAll(this.roles);
        for(int a=0;a<mylgs.size();a++){if(mylgs.get(a).getId()==aid){return true;}}
        return false;
    }

    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        // TODO Auto-generated method stub
        return null;
    }

    @Override
    public String getUsername() {
        // TODO Auto-generated method stub
        return null;
    }

    @Override
    public boolean isAccountNonExpired() {
        // TODO Auto-generated method stub
        return false;
    }

    @Override
    public boolean isAccountNonLocked() {
        // TODO Auto-generated method stub
        return false;
    }

    @Override
    public boolean isCredentialsNonExpired() {
        // TODO Auto-generated method stub
        return false;
    }

    @Override
    public boolean isEnabled() {
        // TODO Auto-generated method stub
        return false;
    }
}

xml配置的格式为business-config.xml，并且为：

<beans profile="default,spring-data-jpa">
    <!-- lots of other stuff -->
    <bean class="my.app.config.SecurityConfig"></bean>
</beans>  

<!-- lots of unrelated stuff -->

此外，mvc-core-config.xml还包含以下内容：

<!-- lots of other stuff -->
<mvc:view-controller path="/" view-name="welcome" />
<mvc:view-controller path="/login" view-name="login" />

login.jsp看起来像这样：

<?xml version="1.0" encoding="ISO-8859-1" ?>
<%@taglib uri="http://java.sun.com/jsp/jstl/core" prefix="c" %>
<%@ page language="java" contentType="text/html; charset=ISO-8859-1"    pageEncoding="ISO-8859-1"%>
<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">
<html>
<head>
    <meta http-equiv="Content-Type" content="text/html; charset=ISO-8859-1" />
    <title>Custom Login page</title>
    <style>.error {color: red;}</style>
</head>
<body>
    <div class="container">
        <h1>Custom Login page</h1>
        <p>
        <c:if test="${error == true}">
            <b class="error">Invalid login or password or pin.</b>
        </c:if>
        </p>
        <form method="post" action="<c:url value='j_spring_security_check'/>" >
        <table>
        <tbody>
            <tr>
                <td>Login:</td>
                <td><input type="text" name="j_username" id="j_username"size="30" maxlength="40"  /></td>
            </tr>
            <tr>
                <td>Password:</td>
                <td><input type="password" name="j_password" id="j_password" size="30" maxlength="32" /></td>
            </tr>
            <tr>
                <td>Pin:</td>
                <td><input type="text" name="pin" id="pin"size="30" maxlength="40"  /></td>
            </tr>
            <tr>
            <td colspan=2>
                  <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/>
            </td>
            </tr>
            <tr>
                <td></td>
                <td><input type="submit" value="Login" /></td>
            </tr>
        </tbody>
        </table>
    </form> 
    </div>
    </body>
</html>

"pom.xml"中的Spring安全依赖项为：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-core</artifactId>
    <version>3.2.2.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-web</artifactId>
    <version>3.2.2.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-config</artifactId>
    <version>3.2.2.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-taglibs</artifactId>
    <version>3.2.2.RELEASE</version>
</dependency>

下载并在您的计算机上复制

我还上传了一个Eclipse项目，其中包含在本地devbox上重现问题所需的最少代码。您可以在此处下载Eclipse项目：
{文件已删除}
下载压缩的项目后，可以按照以下步骤在计算机上重现该问题：
1.)将zip文件解压缩到新文件夹
2.)在Eclipse中，执行File > Import > Existing Maven Projects
3.)单击Next。浏览到解压缩项目的文件夹。完成向导以导入项目。
4.)右键单击eclipse中的项目名称并执行Maven > Download sources
5.)在eclipse中再次右键单击项目名称并执行Maven > Update project
6.)打开MySQL并创建一个名为somedb的空新数据库
7.)在Eclipse项目中，如下图所示打开data-access.properties，并将someusername和somepassword更改为MySQL的真实用户名和密码。
{映像主机不可用}
8.)在Eclipse中，右键单击该项目并选择Run As .. Run on server..，这将启动应用程序，您将在浏览器中的http://localhost:8080/n_factor_auth/ url处看到以下内容：
{映像主机不可用}
9.)将URL更改为http://localhost:8080/n_factor_auth/secure-home，以查看您是否已被重定向到http://localhost:8080/n_factor_auth/login，该页面提供示例自定义登录页面，该页面除了用户名和密码之外还需要PIN。请注意，结果需要适应n-factors，而不是简单地添加单个PIN代码：
{映像主机不可用}
10.)通过运行以下SQL命令将测试凭据插入MySQL数据库，您可以将这些命令放入.sql文件中，然后使用source命令从MySQL命令行运行。请注意，每次启动应用程序时都会删除数据库对象并重新创建为空，因为启用hbm2ddl是为了简化此示例。因此，每次在Eclipse中重新加载应用程序时，都需要重新运行以下SQL命令。

SET FOREIGN_KEY_CHECKS=0;
INSERT INTO `roles` VALUES (100,'registered');
INSERT INTO `user_roles` VALUES (100,100);
INSERT INTO `users` (id, email,password, phone, pin) VALUES (100,'me@mydomain.com','somepassword','xxxxxxxxxx', 'yyyy');
SET FOREIGN_KEY_CHECKS=1;

11.)尝试使用任何凭据（有效或无效）登录，并获得以下成功登录屏幕（请注意，无论用户是否提供有效凭据，他们都会登录）：
{映像主机不可用}
就是这样。现在你已经在你的机器上重新创建了这个问题，包括上面显示的所有代码，但是是在一个工作的极简主义eclipse项目中。那么现在你如何回答上面的OP呢？你对上面的代码做了什么修改，你还做了什么来让自定义身份验证器在登录时使用？
我很想知道为了启用n因子身份验证，需要对极简主义下载应用进行哪些具体更改。我将通过检查我机器上的示例应用中您的建议来验证。
感谢许多人（包括M. Deinum），他们建议删除多余的XML配置，以创建本文中显示的当前版本。