使用 Thymeleaf 和 Spring Security 处理登录错误

使用 Thymeleaf 改进 Spring Security 中的错误处理

Java/Spring 启动配置

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private UserDetailsService userDetailsService;
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .antMatchers("/css/", "/js/", "/images/").permitAll()
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .loginPage("/login")
            .loginProcessingUrl("/perform_login")
            .defaultSuccessUrl("/", true)
            .failureUrl("/login?error=true")
            .permitAll()
            .and()
            .logout()
            .logoutUrl("/perform_logout")
            .deleteCookies("JSESSIONID");
}

在 Spring 控制器中使用 RedirectAttributes 保留用户输入

Java/Spring MVC 实现

@Controller
@RequestMapping("/users")
public class UserController {
    @Autowired
    private UserService userService;
    
    @PostMapping("/login-error")
    public String onFailedLogin(@RequestParam("username") String username, RedirectAttributes redirectAttributes) {
        redirectAttributes.addFlashAttribute("username", username);
        redirectAttributes.addFlashAttribute("error", "Invalid username or password.");
        return "redirect:/login";
    }
}

Spring Security 中处理登录错误的常见问题

1. 问题： 如何配置 Spring Security 以显示详细的错误消息？
2. 回答： 使用可以显示详细消息的自定义错误页面或处理程序在安全配置中配置 .failureUrl()。
3. 问题： 为什么 Thymeleaf 登录失败后不显示错误消息？
4. 回答： 确保您的控制器正确地将错误详细信息添加到模型中或使用 RedirectAttributes 将这些详细信息传递回登录页面。
5. 问题： 身份验证失败后如何在 Thymeleaf 中保留表单数据？
6. 回答： 使用 RedirectAttributes 将数据发送回表单，确保登录表单输入设置为使用由这些属性填充的模型属性。
7. 问题： 失败后处理表单中的密码的最佳实践是什么？
8. 回答： 出于安全目的，最佳做法是即使在失败后也不要重新填充密码字段。
9. 问题： Spring Security 可以在不使用 Thymeleaf 的情况下处理登录错误吗？
10. 回答： 是的，Spring Security 可以通过在安全设置中配置适当的成功和失败 URL 或处理程序来独立处理登录错误。

主要要点和未来方向

总之，围绕 Thymeleaf 在登录尝试失败后无法显示错误消息并保留用户输入的问题通常可以通过 Spring Security 中的正确配置和编码实践来缓解。利用 RedirectAttributes 传回错误消息和输入的数据可确保用户获得更无缝且更少令人沮丧的体验。这种集成不仅有助于开发过程中的调试，而且还通过提供有关登录失败的即时、可理解的反馈来增强最终用户的交互。