我是比较新的Spring框架和Spring安全。
我已经使用了一个自定义验证方案，HTML：
<form action="j_spring_security_check">
<input type="text" name="j_username" value="abc"/>
<input type="text" name="j_password" value="abc"/>
<input type="text" name="myCustom1" value="pqr"/> <!-- maybe type="hidden" -->
<input type="text" name="myCustom2" value="pqr"/> <!-- maybe type="hidden" -->
</form>
和相应的代码：
public class CustomAuthenticationProvider extends AbstractUserDetailsAuthenticationProvider
{
@Override protected void additionalAuthenticationChecks(UserDetails userDetails, UsernamePasswordAuthenticationToken usernamePasswordAuthenticationToken)
throws AuthenticationException
{
System.out.println("Method invoked : additionalAuthenticationChecks isAuthenticated ? :"+usernamePasswordAuthenticationToken.isAuthenticated());
}
@Override protected UserDetails retrieveUser(String username,UsernamePasswordAuthenticationToken authentication)
throws AuthenticationException
{
System.out.println("Method invoked : retrieveUser");
//I have Username,password:
//HOW CAN I ACCESS "myCustom1", "myCustom2" here ?
}
}
如果您需要使用额外的表单参数，以便操纵的用户名和密码，就可以实现自己的AuthenticationProcessingFilter
http://static.springsource.org/spring-security/site/apidocs/org/springframework/security/ui/webapp/AuthenticationProcessingFilter.html
这个类将拥有完全访问的HttpRequest，因此所有提交的其他参数。 如果你的目标是要以某种方式使用这些值来修改用户名和密码，这是你会做。
以上所有都是伟大的，完善的解决方案。 不过，我已经使用了一个解决方法一种解决方案，其工作完全正常。 二手多租户ID为的ThreadLocal
package com.mypackage.servlet;
import java.io.IOException;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import org.springframework.util.Assert;
public class ThreadLocalContextUtil implements Filter{
private static final ThreadLocal<Object> contextHolder =
new ThreadLocal<Object>();
public static void setTenantId(Object tenantId) {
Assert.notNull(tenantId, "customerType cannot be null");
contextHolder.set(tenantId);
}
public static Object getTenantId() {
return contextHolder.get();
}
public static void clearTenant() {
contextHolder.remove();
}
public void destroy() {
}
public void doFilter(ServletRequest request, ServletResponse response,
FilterChain chain) throws IOException, ServletException {
// Set the tenant Id into a ThreadLocal object
ThreadLocalContextUtil.setTenantId(request);
if(chain != null)
chain.doFilter(request, response);
else {
//error
}
}
public void init(FilterConfig filterconfig) throws ServletException {
}
}
春季安全XML
<security:http auto-config="true" use-expressions="true" access-denied-page="/forms/auth/403" >
<security:custom-filter before="FIRST" ref="tenantFilter" />
......
</security:http>
在你的验证类访问请求对象
HttpServletRequest currRequest = (HttpServletRequest) ThreadLocalContextUtil.getTenantId();
然后使用请求对象让你自定义参数
这里的技巧是，你需要创建一个新的AuthenicationToken（也许）延伸UsernameAndPasswordAuthenicationToken和@emills说，你需要再实现一个新的AuthenciationProcessingFilter映射请求值令牌并提交这些给AuthenicationManager。
基本上有在春季安全实现自定义authenication链中的几个部分
-
AuthenicationToken -在authenication要求的细节和它的结果，即包含您需要进行身份验证凭据 -
AuthenicationProvider -与AuthenicationManager注册，接受您的AuthenicationToken和验证用户，并返回一个标记与授予的权限设置 -
AuthenciationFilter -实际上并不一定是一个过滤器只使用类AbstractProcessingFilter会让你的生活变得更轻松
我会走这条路：
<bean id="authenticationProcessingFilter"
class="org.acegisecurity.ui.webapp.AuthenticationProcessingFilter">
...
<property name="authenticationDetailsSource">
<bean class="org.acegisecurity.ui.AuthenticationDetailsSourceImpl">
<property name="clazz"
value="com.MyAuthenticationDetails"/>
</bean>
</property>
</bean>
这是一个包含属性类：
package com;
import javax.servlet.http.HttpServletRequest;
import org.acegisecurity.ui.WebAuthenticationDetails;
public class MyAuthenticationDetails extends WebAuthenticationDetails {
public MyAuthenticationDetails() {
super();
}
//This constructor will be invoqued by the filter
public MyAuthenticationDetails(HttpServletRequest request) {
super(request);
this.myCustom1 = request.getParameter("myCustom1");
}
public String getMyCustom1() {
return myCustom1;
}
private String myCustom1;
}
现在你有了用户名，密码和细节。
我已经做了类似的事情，但不同的，那么任何人在这里建议。 我不是说这是“正确”的方式做到这一点 - 但它的工作对我非常好。 在主要对象存在的用户，并且还详细信息您可以存储其他的登录信息的Map（字符串，字符串）的AuthenticationToken对象。
public class RequestFormDeatils extends SpringSecurityFilter {
protected void doFilterHttp(HttpServletRequest request, ...) {
SecurityContext sec = SecurityContextHolder.getContent();
AbstractAuthenticationToken auth = (AbstractAuthenticationToken)sec.getAuthentication();
Map<String, String> m = new HashMap<String, String>;
m.put("myCustom1", request.getParamtere("myCustom1"));
m.put("myCustom2", request.getParameter("myCustom2"));
auth.setDetails(m);
}
现在，在你的代码的任何地方你使用的SecurityContext而无需将其连接到您的UserDetails传播到这个安全相关信息的对象，或将其作为参数传递。 我做的这个SecurityFilter类代码在春季安全过滤器链的末端。
<bean id="requestFormFilter" class="...RequestFormDetails">
<custom-filter position="LAST" />
</bean>
