Spring Security - 没有重定向的身份验证失败消息答案

【问题标题】：Spring Security - authentication failure message without redirectsSpring Security - 没有重定向的身份验证失败消息
【发布时间】：2015-12-18 22:04:13
【问题描述】：

如何在 Spring Security 中显示没有任何重定向的身份验证失败消息？

我可以找到类似的问题，例如 How to display error message in my JSP page using spring security 2.0 和 Spring Security - Authentication Failure - Blank Message 其中描述了不好的做法。

我不喜欢使用 authentication-failure-url 属性。我所需要的只是在登录页面上的 HTTP POST 请求后显示错误消息没有任何重定向和不使用会话。只需将错误变量放入登录模型即可。

【问题讨论】：

标签： spring authentication spring-security

【解决方案1】：

您应该在登录页面中使用j_username 和j_password 对/j_spring_security_check 进行AJAX 调用。

您必须编写一个自定义AuthenticationFailureHandler 并将其插入UsernamePasswordAuthenticationFilter.setAuthenticationFailureHandler 方法。还有一个自定义的AuthenticationSuccessHandler 和UsernamePasswordAuthenticationFilter.setAuthenticationSuccessHandler 方法。

您的自定义 AuthenticationSuccessHandler 应该返回 true。您的自定义 AuthenticationFailureHandler 应该返回 false 并且您的登录页面 AJAX 回调应该检查这些值并采取适当的登录操作。

【讨论】：

我同意，AJAX 是这里可能的解决方案之一。但这仍然不是我想要的。只需发布数据并获得带有错误消息的相同登录页面。这是非常原始的，但使用 Spring Security 看起来非常困难。我认为，其中一种方法是编写 AuthenticationFailureHandler，它将带有错误消息的登录页面放在 onAuthenticationFailure 方法中的 response 中。但这看起来有点难看。
另一种选择是编写一个控制器来处理登录发布方法，如果身份验证成功，您可以在该方法中设置 SecurityContextHolder 对象。这样您就可以实现您想要的任何行为，而无需依赖 SpringSecurity 的默认身份验证处理流程。