Spring Boot Security：获取登录凭据用于自定义认证逻辑

嘿，作为Spring Security的新手，你的需求完全合理——不想硬编码凭据到配置文件里，而是要拿到用户输入的原始用户名密码做自定义处理后再认证，这完全可以实现！我结合你现有的代码，给你梳理两种最常用的可行方案：

方案一：自定义PasswordEncoder（适合仅处理密码的场景） #

你当前用的DaoAuthenticationProvider默认依赖PasswordEncoder来完成密码匹配逻辑，我们可以通过自定义这个编码器，来介入用户输入密码的处理流程。

1. 实现自定义PasswordEncoder #

创建一个自定义的密码编码器，在matches方法中对用户输入的原始密码做自定义处理，再和存储的已处理密码对比：

@Component
public class CustomPasswordEncoder implements PasswordEncoder {

    @Override
    public String encode(CharSequence rawPassword) {
        // 如果你需要预先编码存储用户密码，在这里实现自定义加密逻辑
        return customProcessPassword(rawPassword.toString());
    }

    @Override
    public boolean matches(CharSequence rawPassword, String encodedPassword) {
        // 核心逻辑：拿到用户输入的原始密码，先做自定义处理
        String processedPassword = customProcessPassword(rawPassword.toString());
        // 和存储的已处理密码对比，返回匹配结果
        return processedPassword.equals(encodedPassword);
    }

    // 这里替换成你的真实自定义处理算法
    private String customProcessPassword(String password) {
        // 示例：反转密码+加盐，实际场景换成你的业务逻辑
        String salt = "your-custom-salt";
        return new StringBuilder(password).reverse().append(salt).toString();
    }
}

2. 配置到你的WebSecurityConfig #

修改你现有的authenticationProvider方法，注入自定义的编码器：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private MyBasicAuthenticationEntryPoint authEntryPoint;
    @Autowired
    private MyUserDetailsService userDetailsService;
    @Autowired
    private CustomPasswordEncoder customPasswordEncoder; // 注入自定义编码器

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.authenticationProvider(authenticationProvider());
    }

    public DaoAuthenticationProvider authenticationProvider() {
        DaoAuthenticationProvider provider = new DaoAuthenticationProvider();
        provider.setUserDetailsService(userDetailsService);
        provider.setPasswordEncoder(customPasswordEncoder); // 替换为自定义编码器
        return provider;
    }

    // ... 其他原有代码保持不变
}

说明：当用户登录时，Spring Security会自动把输入的原始密码传给matches方法的rawPassword参数，你在这里完成自定义处理后，再和MyUserDetailsService返回的用户密码（也就是你预先存储的已处理密码）对比，完成认证。

方案二：自定义UsernamePasswordAuthenticationFilter（适合处理用户名+密码或前置逻辑） #

如果你的自定义逻辑不仅涉及密码，还需要处理用户名，或者要在认证前做额外操作（比如日志、参数校验），那么自定义认证过滤器会更灵活。

1. 实现自定义认证过滤器 #

继承UsernamePasswordAuthenticationFilter，在attemptAuthentication方法中拦截并处理原始凭据：

@Component
public class CustomAuthenticationFilter extends UsernamePasswordAuthenticationFilter {

    @Override
    public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
        // 从请求中获取用户输入的原始用户名和密码
        String username = obtainUsername(request);
        String password = obtainPassword(request);

        // 在这里加入你的自定义处理逻辑
        String processedUsername = customProcessUsername(username);
        String processedPassword = customProcessPassword(password);

        // 用处理后的凭据构造认证Token
        UsernamePasswordAuthenticationToken authRequest = new UsernamePasswordAuthenticationToken(
                processedUsername, processedPassword);

        // 设置请求详情（如IP地址等）
        setDetails(request, authRequest);

        // 交给AuthenticationManager完成后续认证流程
        return this.getAuthenticationManager().authenticate(authRequest);
    }

    // 自定义用户名处理逻辑，示例：转大写
    private String customProcessUsername(String username) {
        return username.toUpperCase();
    }

    // 自定义密码处理逻辑，替换为你的业务逻辑
    private String customProcessPassword(String password) {
        String salt = "your-custom-salt";
        return new StringBuilder(password).reverse().append(salt).toString();
    }
}

2. 替换默认过滤器到Security配置 #

在WebSecurityConfig中配置使用自定义过滤器：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private MyBasicAuthenticationEntryPoint authEntryPoint;
    @Autowired
    private CustomAuthenticationFilter customAuthenticationFilter; // 注入自定义过滤器

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable();
        http.authorizeRequests().anyRequest().authenticated();
        // 替换默认的用户名密码认证过滤器
        http.addFilterAt(customAuthenticationFilter, UsernamePasswordAuthenticationFilter.class);
        http.httpBasic().authenticationEntryPoint(authEntryPoint);
    }

    // ... 其他原有代码保持不变
}

说明：这个过滤器会在用户提交登录请求时优先触发，你可以直接拿到原始的用户名密码做处理，再把处理后的凭据交给后续的认证流程，MyUserDetailsService拿到的就是处理后的用户名，去匹配对应的用户信息。

对你现有代码的说明 #

你之前写的details和userDetails方法并没有被Spring Security的认证流程调用，所以不会生效。上面两种方案都是Spring Security官方推荐的标准实现方式，能完美满足你的需求。

另外需要注意：

• 如果你用方案一，MyUserDetailsService返回的用户密码必须是经过自定义算法处理后的结果；
• 如果你用方案二，MyUserDetailsService需要根据处理后的用户名去查询用户信息。

内容的提问来源于stack exchange，提问作者R12