要知道 spring security 在登录时 只需要输入账号密码即可,所以刚开始为了方便在自定义的登录页面使用jQuery.submit()方法拦截了表单提交时间,在其中进行验证码的验证,但是测试人员测试后说存在暴力破解和撞库风险,需要账号,密码与验证码同时提交验证,并作出登录错误次数限制,所以只能想其他解决办法。
验证码实现:spring boot 实现验证码
这里简单叙述一下spring security的登录验证机制:
Spring security使用众多的过滤器对url进行拦截,以此来进行权限管理。Spring security不允许我们修改默认的filter实现,但是可以加入自己的filter。登录验证的流程是,用户登陆会被AuthenticationProcessingFilter拦截,调用AuthenticationManager的实现,而AuthenticationManager会调用ProviderManager来获取用户验证信息。如果验证通过会将用户的权限信息封装成User对象放到spring的全局缓存SecurityContextHolder中,以备后面访问资源时使用。忽略验证用户信息的部分,我们可以通过AuthenticationProcessingFilter来检验验证码,并达到验证失败时拒绝用户登录的目的。
自定义过滤器:
@Log
public class CaptchaAuthenticationFilter extends AbstractAuthenticationProcessingF
《一线大厂Java面试题解析+后端开发学习笔记+最新架构讲解视频+实战项目源码讲义》
【