使用Spring安全性针对两个用户服务对用户进行身份验证

Question

我对Spring安全性非常陌生，我的问题如下：

我有一个成员 mysql表，其中包含有关网站成员的信息，包括用户名，密码和角色。 到目前为止一切顺利：我可以使用此表来配置<jdbc-user-service 。

但是，我也想拥有一个不会在成员表中的超级用户。

1. 是否可以并建议在内存用户存储库中拥有该超级用户，从而将jdbc用户服务与内存用户服务混合使用？ 如果可以，怎么办？
2. 如果1.不可能的话，也许我可以有第二个mysql表称为instance 主持人 。 那我需要对这两个表进行身份验证的哪种sql查询？

Answer 1

Collissions

多个存储库的问题在于，您需要确保区分哪个用户。 例如，假设您的数据如下所示

会员表

username
----------------------
member

主持人表

username
----------------------
moderator

然后，您有一些与您的用户相关联的数据

数据表

username          value
----------------------------------------
moderator         secret

如果发生碰撞，现在该怎么办？ 例如，一个用户注册，您的成员表现在如下所示：

会员表

username
----------------------
member
moderator

哪个主持人拥有数据？ 无法区分两个用户。

替代方法

另一种方法是使用用户到角色的映射。 它将使用类似以下的内容：

会员表

username           is_moderator
----------------------
member             false
moderator          true

然后，当用户尝试使用现有的用户名进行注册时，就会出现约束冲突，因此您无需在两者之间进行区分。 当然，您可以使用另一个表来映射角色。 这是Spring Security通常使用权限表执行的操作。

使用多个UserDetailsS​​ervice

如果您确实想使用多个用户存储库，则只需在配置中声明多个UserDetailsS​​ervice条目即可。 内存中配置示例如下所示：

  <authentication-manager>
    <authentication-provider>
      <jdbc-user-service .. />
    </authentication-provider>
    <authentication-provider>
      <user-service>
        <user username="moderator" 
            password="password"
            authorities="ROLE_MODERATOR"/>
      </user-service>
    </authentication-provider>
  </authentication-manager>

如果要在数据库中同时执行这两项操作，则需要确定每个表的SQL查询是什么，然后添加两个元素。 例如：

  <authentication-manager>
    <authentication-provider>
      <jdbc-user-service .. />
    </authentication-provider>
    <authentication-provider>
      <jdbc-user-service .. />
    </authentication-provider>
  </authentication-manager>

使用属性控制您的sql查询。 您可以参考Spring Security附录中的示例查询。