spring security 自定义Provider 如何实现多种认证

实现多种认证方式，需要自定义Spring Security的AuthenticationProvider接口实现类，然后在Spring Security配置中引用该实现类。

以下是自定义Provider实现多种认证的步骤：

1.定义一个Authentication实现类
该类需要继承AbstractAuthenticationToken类，并重写构造方法和get/set方法。在构造方法中，需要传入用户输入的用户名和密码等认证信息。

2.定义一个AuthenticationProvider实现类
该类需要实现AuthenticationProvider接口，并重写authenticate()方法。在该方法中，需要根据自己的认证方式，对用户进行认证校验，并返回Authentication实现对象。

3.在Spring Security配置中引用该AuthenticationProvider实现类
在Spring Security配置文件中，需要使用标签配置对应的AuthenticationProvider实现类，如下所示：

<authentication-manager>
    <authentication-provider ref="myCustomAuthenticationProvider"/>
</authentication-manager>

示例一：使用LDAP认证方式
下面的示例展示如何使用LDAP作为认证方式。

1.定义LDAPAuthenticationToken类
该类需要继承AbstractAuthenticationToken类，并重写构造方法和get/set方法。在构造方法中，需要传入用户输入的用户名和密码，作为LDAP认证的基本信息。

public class LDAPAuthenticationToken extends AbstractAuthenticationToken {

    private final Object principal;
    private Object credentials;

    public LDAPAuthenticationToken(Object principal, Object credentials) {
        super(null);
        this.principal = principal;
        this.credentials = credentials;
        setAuthenticated(false);
    }

    public LDAPAuthenticationToken(Object principal, Object credentials, Collection<? extends GrantedAuthority> authorities) {
        super(authorities);
        this.principal = principal;
        this.credentials = credentials;
        super.setAuthenticated(true);
    }

    @Override
    public Object getCredentials() {
        return this.credentials;
    }

    @Override
    public Object getPrincipal() {
        return this.principal;
    }
}

2.定义LDAPAuthenticationProvider类
该类需要实现AuthenticationProvider接口，并重写authenticate()方法。在该方法中，需要使用LDAP连接实现用户认证。

public class LDAPAuthenticationProvider implements AuthenticationProvider {

    private final LdapTemplate ldapTemplate;

    public LDAPAuthenticationProvider(LdapTemplate ldapTemplate) {
        this.ldapTemplate = ldapTemplate;
    }

    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        String username = authentication.getName();
        String password = (String) authentication.getCredentials();

        try {
            ldapTemplate.authenticate(LdapUtils.emptyLdapName(), "(uid=" + username + ")", password);
            return new LDAPAuthenticationToken(username, password, new ArrayList<>());
        } catch (Exception e) {
            throw new BadCredentialsException("Invalid username/password");
        }
    }

    @Override
    public boolean supports(Class<?> authentication) {
        return authentication.equals(LDAPAuthenticationToken.class);
    }
}

3.在Spring Security配置文件中配置LDAPAuthenticationProvider

<authentication-manager>
    <authentication-provider ref="ldapAuthenticationProvider"/>
</authentication-manager>

...

<bean id="ldapAuthenticationProvider" class="com.example.security.LDAPAuthenticationProvider">
    <constructor-arg>
        <bean class="org.springframework.ldap.core.LdapTemplate">
            <constructor-arg>
                <bean class="com.example.config.CustomLDAPContextSource">
                    <property name="url" value="${ldap.url}"/>
                    <property name="base" value="${ldap.base}"/>
                    <property name="userDn" value="${ldap.userdn}"/>
                    <property name="password" value="${ldap.password}"/>
                </bean>
            </constructor-arg>
        </bean>
    </constructor-arg>
</bean>

示例二：使用数据库认证方式
下面的示例展示如何使用数据库作为认证方式。

1.定义DatabaseAuthenticationToken类
该类需要继承AbstractAuthenticationToken类，并重写构造方法和get/set方法。在构造方法中，需要传入用户输入的用户名和密码，作为数据库认证的基本信息。

public class DatabaseAuthenticationToken extends AbstractAuthenticationToken {

    private final Object principal;
    private Object credentials;

    public DatabaseAuthenticationToken(Object principal, Object credentials) {
        super(null);
        this.principal = principal;
        this.credentials = credentials;
        setAuthenticated(false);
    }

    public DatabaseAuthenticationToken(Object principal, Object credentials, Collection<? extends GrantedAuthority> authorities) {
        super(authorities);
        this.principal = principal;
        this.credentials = credentials;
        super.setAuthenticated(true);
    }

    @Override
    public Object getCredentials() {
        return this.credentials;
    }

    @Override
    public Object getPrincipal() {
        return this.principal;
    }
}

2.定义DatabaseAuthenticationProvider类
该类需要实现AuthenticationProvider接口，并重写authenticate()方法。在该方法中，需要使用JdbcTemplate连接实现用户认证。

public class DatabaseAuthenticationProvider implements AuthenticationProvider {

    private final JdbcTemplate jdbcTemplate;

    public DatabaseAuthenticationProvider(JdbcTemplate jdbcTemplate) {
        this.jdbcTemplate = jdbcTemplate;
    }

    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        String username = authentication.getName();
        String password = (String) authentication.getCredentials();

        List<User> userList = jdbcTemplate.query("SELECT * FROM users WHERE username = ?", new BeanPropertyRowMapper<>(User.class), username);
        if (userList.isEmpty()) {
            throw new BadCredentialsException("Invalid username/password");
        }
        User user = userList.get(0);
        if (!password.equals(user.getPassword())) {
            throw new BadCredentialsException("Invalid username/password");
        }

        return new DatabaseAuthenticationToken(username, password, new ArrayList<>());
    }

    @Override
    public boolean supports(Class<?> authentication) {
        return authentication.equals(DatabaseAuthenticationToken.class);
    }
}

3.在Spring Security配置文件中配置DatabaseAuthenticationProvider

<authentication-manager>
    <authentication-provider ref="databaseAuthenticationProvider"/>
</authentication-manager>

...

<bean id="databaseAuthenticationProvider" class="com.example.security.DatabaseAuthenticationProvider">
    <constructor-arg ref="jdbcTemplate"/>
</bean>

<bean id="jdbcTemplate" class="org.springframework.jdbc.core.JdbcTemplate">
    <constructor-arg ref="dataSource"/>
</bean>

通过以上两个示例，可以看出我们可以通过定制化Authentication实现类和认证实现类，达到自定义Provider实现多种认证方式的目的。