如何在基于Acegis的自定义LdapAuthenticationProvider中添加MFA重定向

问题 #

如何为采用Acegis Security（Spring Security的前身）、通过继承org.acegisecurity.providers.ldap.LdapAuthenticationProvider的自定义认证提供者对接LDAP服务器的系统，添加额外的MFA验证？

背景 #

现有系统使用Acegis Security处理登录，通过继承org.acegisecurity.providers.ldap.LdapAuthenticationProvider的自定义认证提供者实现LDAP服务器认证。需实现MFA功能，已有MFA提供商，但需重定向至其网站。当前核心难点是系统安全逻辑完全基于Acegis Security派生类实现，无法直接获取登录请求的HttpServletRequest。

目前认为可用于实现MFA的核心方法为：

public Authentication authenticate(Authentication authentication)
{
...
}

以及

protected abstract void additionalAuthenticationChecks(UserDetails userDetails,
    UsernamePasswordAuthenticationToken authentication) throws AuthenticationException;

但执行MFA需重定向至MFA网站并接收返回码，上述方法中无Http对象可用，不清楚如何完成这类需重定向浏览器至MFA站点并根据返回结果判断验证是否通过的操作。

解决方案 #

1. 扩展Acegis的AuthenticationProcessingFilter获取Http对象 #

Acegis的登录请求由AuthenticationProcessingFilter处理，该过滤器持有HttpServletRequest和HttpServletResponse，需自定义过滤器继承它来整合MFA流程：

• 重写attemptAuthentication方法，先调用父类完成LDAP基础认证（触发自定义LdapAuthenticationProvider的逻辑）
• 若LDAP认证通过，将用户UserDetails和临时状态标记（如IS_LDAP_AUTH_SUCCESS）存入session，构造MFA提供商的跳转URL，调用response.sendRedirect()完成页面跳转
• 配置MFA提供商的回调地址为系统内的专用验证接口

2. 实现MFA回调处理接口 #

创建一个Servlet或Controller处理MFA回调请求：

• 接收MFA提供商返回的验证码、用户标识等参数
• 从session中取出之前存储的用户信息与状态标记，校验标记有效性
• 调用MFA提供商的接口验证返回码是否合法
• 验证通过时，生成完整的Authentication对象，通过SecurityContextHolder.getContext().setAuthentication()完成最终登录，并重定向至系统首页
• 验证失败时，清除session临时信息，重定向回登录页并提示错误

3. 调整自定义LdapAuthenticationProvider逻辑 #

修改你的认证提供者适配新流程：

• 在authenticate方法中，通过session或请求参数判断当前是否为MFA回调请求
• 若是回调请求，跳过LDAP认证步骤，直接校验MFA结果；若为首次登录请求，仅完成LDAP基础认证，不做后续处理（交由过滤器触发重定向）

4. 配置Acegis过滤器链 #

在Acegis的配置文件中，将自定义过滤器替换原有的AuthenticationProcessingFilter，确保它在过滤器链中的顺序正确（需在SecurityContextHolderAwareRequestFilter之前、ExceptionTranslationFilter之后）

关键注意事项 #

• 临时session信息需设置合理的过期时间，避免无效状态残留
• MFA回调接口需校验请求来源合法性，防止伪造回调请求
• 若系统存在多个登录入口，需统一通过自定义过滤器处理，确保流程一致性

内容的提问来源于stack exchange，提问作者David Buddrige