spring security authenticationProvider用法及关闭不隐藏UserNotFoundException的解决

这两天采用了spring security做登录验证，上一篇说到了增加图形验证码的解决办法，我们在config中增加了一个authenticationProvider的实现类。接下来我遇到的问题是用户登录失败（用户不存在或密码错误）之后，security框架直接返回的是验证失败。而我的需求是将用户不存在和密码错误区分开来，然后做不同的后续工作。

出现这个问题的配置是：

……
@Inject
public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
auth.authenticationProvider(customAuthenticationProvider)
.userDetailsService(userDetailsService)
.passwordEncoder(passwordEncoder());

}
……

因发现UserNotFoundException异常是在DaoAuthenticationProvider中被屏蔽掉的，而DaoAuthenticationProvider中有个属性hideUserNotFoundExceptions,默认是ture，也就是说要想抛出UserNotFoundException，需要把hideUserNotFoundExceptions设为false。

于是增加了一个DaoAuthenticationProvider的配置

@Bean
public DaoAuthenticationProvider authenticationProvider() {
DaoAuthenticationProvider provider = new DaoAuthenticationProvider();
provider.setHideUserNotFoundExceptions(false);
provider.setUserDetailsService(userDetailsService);
provider.setPasswordEncoder(passwordEncoder());
return provider;
}
@Inject
public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
auth.authenticationProvider(customAuthenticationProvider)
.authenticationProvider(authenticationProvider()) //增加
.userDetailsService(userDetailsService)
.passwordEncoder(passwordEncoder());
}

出现的结果是调用了两次userDetailsService中的验证，UserNotFoundException还是被屏蔽掉了。

经过源码跟踪，发现了ProviderManager这个类，这个类中有这么一段代码：

……
for (AuthenticationProvider provider : getProviders()) {
if (!provider.supports(toTest)) {
continue;
}
if (debug) {
logger.debug("Authentication attempt using "
+ provider.getClass().getName());
}

try {
result = provider.authenticate(authentication);

if (result != null) {
copyDetails(authentication, result);
break;
}
}
catch (AccountStatusException e) {
prepareException(e, authentication);
throw e;
}
catch (InternalAuthenticationServiceException e) {
prepareException(e, authentication);
throw e;
}
catch (AuthenticationException e) {
lastException = e;
}
}
……

从上边的代码可以看出，对于AuthenticationProvider，只要配置几个provider，就会执行几个，但我在config中只配了两个，为什么会执行三个呢？

最后发现原因在于

auth .userDetailsService(userDetailsService)
.passwordEncoder(passwordEncoder());

这两个会默认在providerlist中增加一个DaoAuthenticationProvider，看到这里果断将这两行注释掉。再次测试，完美通过。UserNotFoundException也抛出来了

下面总结下authenticationProvider：

1、验证过程中，可以增加多个authenticationProvider，来完成不同的验证工作

2、根据验证的先后顺序，需要注意authenticationProvider设置的先后顺序。

3、如果抛出异常，即可停止的话，不能抛出AuthenticationException

4、每个authenticationProvider都要配置一个UserDetailsService的实现类

5、如果不使用DaoAuthenticationProvider或要重新配置，就直接使用auth.authenticationProvider()方法，不要使用auth .userDetailsService()