Spring Security：从自定义登录页调用自定义认证提供者

我来帮你一步步搞定这个需求，流程其实很清晰，分这几个关键步骤来做就行：

1. 配置Spring Security，指定自定义登录页与认证端点 #

首先得在Spring Security的配置类里，告诉框架要使用你的SecureLogin.jsp作为登录页，同时指定一个专门处理登录请求的URL（这个URL不用你自己写Controller，Spring Security会自动接管认证逻辑）。

用Java配置的示例代码：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/SecureLogin.jsp").permitAll() // 允许匿名访问登录页
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginPage("/SecureLogin.jsp") // 指定自定义登录页的访问路径
                .loginProcessingUrl("/perform-login") // 登录表单提交的目标URL
                .defaultSuccessUrl("/dashboard", true) // 认证成功后跳转的页面
                .failureUrl("/SecureLogin.jsp?error=true") // 认证失败返回登录页并携带错误标识
                .permitAll()
            );
        return http.build();
    }
}

2. 实现自定义认证提供者 #

接下来要写你的专属认证逻辑，创建一个类实现AuthenticationProvider接口，重写两个核心方法：

• authenticate()：在这里编写你的认证逻辑，比如从数据库查询用户信息、验证密码合法性等。认证成功就返回一个Authentication对象，失败则抛出对应的异常（比如BadCredentialsException）。
• supports()：指定这个提供者支持处理哪种类型的Authentication（一般用UsernamePasswordAuthenticationToken.class即可）。

示例代码：

@Component
public class CustomAuthenticationProvider implements AuthenticationProvider {

    // 注入用户服务、密码编码器等依赖
    @Autowired
    private UserDetailsService userDetailsService;
    @Autowired
    private PasswordEncoder passwordEncoder;

    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        String username = authentication.getName();
        String password = authentication.getCredentials().toString();

        // 从用户服务获取用户详情
        UserDetails userDetails = userDetailsService.loadUserByUsername(username);

        // 验证密码是否匹配
        if (passwordEncoder.matches(password, userDetails.getPassword())) {
            // 认证成功，返回包含权限信息的Authentication对象
            return new UsernamePasswordAuthenticationToken(
                username,
                password,
                userDetails.getAuthorities()
            );
        } else {
            throw new BadCredentialsException("用户名或密码错误");
        }
    }

    @Override
    public boolean supports(Class<?> authentication) {
        return UsernamePasswordAuthenticationToken.class.isAssignableFrom(authentication);
    }
}

3. 注册自定义认证提供者 #

把上面的CustomAuthenticationProvider注册到Spring Security的认证管理器中，在SecurityConfig里添加以下配置即可：

@Autowired
private CustomAuthenticationProvider customAuthenticationProvider;

// 方式1：直接在SecurityFilterChain中配置
@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    // ... 其他配置 ...
    http.authenticationProvider(customAuthenticationProvider);
    return http.build();
}

// 或者方式2：通过AuthenticationManager注册
@Bean
public AuthenticationManager authenticationManager(AuthenticationConfiguration authConfig) throws Exception {
    AuthenticationManager authenticationManager = authConfig.getAuthenticationManager();
    ProviderManager providerManager = (ProviderManager) authenticationManager;
    providerManager.getProviders().add(customAuthenticationProvider);
    return authenticationManager;
}

4. 完善SecureLogin.jsp的表单 #

你的登录页表单需要正确提交到之前配置的/perform-login端点，同时要包含用户名、密码输入框，以及CSRF令牌（Spring Security默认开启CSRF保护，必须添加这个令牌，否则登录请求会被拒绝）。

完善后的表单示例：

<%@ page language="java" contentType="text/html; charset=ISO-8859-1" pageEncoding="ISO-8859-1"%>
<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">
<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core"%>
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=ISO-8859-1">
<title>Login</title>
</head>
<body>
    <!-- 显示认证失败的错误提示 -->
    <c:if test="${param.error != null}">
        <p style="color: red;">用户名或密码错误，请重试！</p>
    </c:if>

    <form action="${pageContext.request.contextPath}/perform-login" method="POST">
        <div>
            <label>用户名:</label>
            <input type="text" name="username" required />
        </div>
        <div>
            <label>密码:</label>
            <input type="password" name="password" required />
        </div>
        <!-- CSRF令牌，必须添加 -->
        <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />
        <button type="submit">登录</button>
    </form>
</body>
</html>

关键注意事项 #

• CSRF保护：Spring Security默认开启CSRF防护，所以表单里一定要包含CSRF令牌，否则登录请求会被框架拦截。
• 密码编码器：绝对不要明文存储密码，一定要用PasswordEncoder（比如BCryptPasswordEncoder）来加密和验证密码，记得在配置类里注册这个Bean：

  @Bean
  public PasswordEncoder passwordEncoder() {
      return new BCryptPasswordEncoder();
  }
  

• 权限配置：确保登录页/SecureLogin.jsp被允许匿名访问，否则未登录用户会陷入重定向循环。

内容的提问来源于stack exchange，提问作者Abdu Manas C A