满足此要求的Spring Security最佳实践

Question

当前的Spring应用程序需要从POJO库中添加其他身份验证检查。 POJO库包括几个定制的身份验证模块供您选择。 有些可以非常简单，例如从数据库或文件中检查URL中的用户名和加密密码，其他则可以通过LDAP认证或Web Service认证。

棘手的部分是，当前应用程序在security.xml中具有自己的身份验证方法，我们不想破坏任何一个。

我的目标是基于最小的更改来进行这项工作。

我认为可能有几种解决方案，但是要设法获得良好的实践：

1. 定制一个Spring authentication provider来处理认证管理器的Pojo认证
2. 为pojo定制一个Spring pre-authentication （或类似的东西）bean，然后让应用程序安全执行下一步。
3. 扩展了一个filter class并在web.xml注册，因此这可以对现有的spring安全上下文进行最小的更改，但是我不确定如何使它处理LDAP和WS身份验证。

和许多其他选项（如果有人可以提供更好的提示）。 提前致谢。

Answer 1

创建一个自定义的Spring Authentication Manager，以扩展已经存在的管理器。 调用super.authenticate（），如果成功，则添加额外的身份验证逻辑。