滿足此要求的Spring Security最佳實踐

Question

當前的Spring應用程序需要從POJO庫中添加其他身份驗證檢查。 POJO庫包括幾個定制的身份驗證模塊供您選擇。 有些可以非常簡單，例如從數據庫或文件中檢查URL中的用戶名和加密密碼，其他則可以通過LDAP認證或Web Service認證。

棘手的部分是，當前應用程序在security.xml中具有自己的身份驗證方法，我們不想破壞任何一個。

我的目標是基於最小的更改來進行這項工作。

我認為可能有幾種解決方案，但是要設法獲得良好的實踐：

1. 定制一個Spring authentication provider來處理認證管理器的Pojo認證
2. 為pojo定制一個Spring pre-authentication （或類似的東西）bean，然后讓應用程序安全執行下一步。
3. 擴展了一個filter class並在web.xml注冊，因此這可以對現有的spring安全上下文進行最小的更改，但是我不確定如何使它處理LDAP和WS身份驗證。

和許多其他選項（如果有人可以提供更好的提示）。 提前致謝。

Answer 1

創建一個自定義的Spring Authentication Manager，以擴展已經存在的管理器。 調用super.authenticate（），如果成功，則添加額外的身份驗證邏輯。