Spring Security实现多次登录失败后账户锁定功能

一、Spring Security实现多次登录失败后账户锁定功能的实现过程

1. 配置登录失败处理器

在Spring Security的配置类中，通过实现 org.springframework.security.web.authentication.AuthenticationFailureHandler 接口，自定义一个登录失败处理器。

示例代码：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private MyUserDetailsService myUserDetailsService;

    @Autowired
    private PasswordEncoder passwordEncoder;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(myUserDetailsService)
            .passwordEncoder(passwordEncoder);
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.formLogin()
            .loginPage("/login").permitAll()
            .loginProcessingUrl("/login")
            .failureHandler(authenticationFailureHandler())
            .and()
            // ...
    }

    /**
     * 自定义登录失败处理器
     */
    @Bean
    public MyAuthenticationFailureHandler authenticationFailureHandler() {
        return new MyAuthenticationFailureHandler();
    }
}

1. 编写登录失败处理器

实现 onAuthenticationFailure 方法，获取登录账户名，查询数据库中的账户信息并更新账户状态。

示例代码：

public class MyAuthenticationFailureHandler implements AuthenticationFailureHandler {

    @Autowired
    private AccountDao accountDao;

    @Override
    public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException {

        String username = request.getParameter("username");

        Account account = accountDao.findByUsername(username);

        if (account != null) { // 查询到用户时更新账户状态
            account.setFailedAttempts(account.getFailedAttempts() + 1);

            // 超过登录失败次数，锁定账户
            if (account.getFailedAttempts() >= MAX_FAILED_ATTEMPTS) {
                account.setLocked(true);
                account.setLockedAt(new Date());
            }

            accountDao.save(account);
        }

        // 跳转到登录页面，显示错误信息
        response.sendRedirect("/login?error=true");
    }
}

1. 完善登录逻辑

修改登录逻辑，在登录成功时清空账户状态中的失败次数和锁定状态等信息。

示例代码：

public class MyAuthenticationSuccessHandler implements AuthenticationSuccessHandler {

    @Autowired
    private AccountDao accountDao;

    @Override
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {

        String username = authentication.getName();

        Account account = accountDao.findByUsername(username);

        if (account != null) { // 查询到用户时更新账户状态
            account.setFailedAttempts(0);
            account.setLocked(false);
            account.setLockedAt(null);

            accountDao.save(account);
        }

        // 跳转到首页
        response.sendRedirect("/");
    }
}

二、示例

以下是两个示例：

1. 锁定状态下的登录

账户登录失败多次后，账户被锁定了。现在用户想要登录，但是因为账户被锁定了，无法进行登录。

用户看到的界面应该是这样的：

Account is locked. Please try again later.

1. 登录失败但未被锁定的账户

账户仍然不能登录，但账户状态并未进入锁定状态。

此时，用户会看到错误信息：

Incorrect username or password.