要知道 spring security 在登录时 只需要输入账号密码即可，所以刚开始为了方便在自定义的登录页面使用jQuery.submit()方法拦截了表单提交时间，在其中进行验证码的验证，但是测试人员测试后说存在暴力破解和撞库风险，需要账号，密码与验证码同时提交验证，并作出登录错误次数限制，所以只能想其他解决办法。
验证码实现：spring boot 实现验证码
这里简单叙述一下spring security的登录验证机制：
Spring security使用众多的过滤器对url进行拦截，以此来进行权限管理。Spring security不允许我们修改默认的filter实现，但是可以加入自己的filter。登录验证的流程是，用户登陆会被AuthenticationProcessingFilter拦截，调用AuthenticationManager的实现，而AuthenticationManager会调用ProviderManager来获取用户验证信息。如果验证通过会将用户的权限信息封装成User对象放到spring的全局缓存SecurityContextHolder中，以备后面访问资源时使用。忽略验证用户信息的部分，我们可以通过AuthenticationProcessingFilter来检验验证码，并达到验证失败时拒绝用户登录的目的。
自定义过滤器：
@Log
public class CaptchaAuthenticationFilter extends AbstractAuthenticationProcessingF
《一线大厂Java面试题解析+后端开发学习笔记+最新架构讲解视频+实战项目源码讲义》
【
最低0.47元/天 解锁文章
774
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
