4

Estou um pouco perdido aqui, gostaria de colocar um parâmetro na view para informar ao usuário que sua senha está errada, expirada etc. o problema que o spring-security identifica.

WebSecurityConfigurerAdapter

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsRepository userDetailsRepository;


    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http.authorizeRequests()
                .antMatchers("/home", "/").authenticated()
                .antMatchers("/admin/**").access("hasRole('ADMIN')")
                .and().formLogin().loginPage("/login")
                .usernameParameter("login").passwordParameter("pass")
                .and().csrf().disable()
                .exceptionHandling()
                .accessDeniedHandler(new AuthAcessDeniedHandler() {
                }).accessDeniedPage("/login?error");
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {

        auth.userDetailsService(userDetailsRepository)
                .passwordEncoder(new BCryptPasswordEncoder());
    }


}

AccessDeniedHandler

public class AuthAcessDeniedHandler implements AccessDeniedHandler {
    @Override
    public void handle(HttpServletRequest request, HttpServletResponse response, AccessDeniedException accessDeniedException) throws IOException, ServletException {
        // Gostaria de colocar esse parâmetro na VIEW
        request.setAttribute("error","Login invalido");

    }
}

View (freemaker)

  $(document).ready(function () {
        /*
         * JS login effect
         * This script will enable effects for the login page
         */

        // Elements

    alert('${(Request.error)!"John Doe"}');
    ..........etc

accessDeniedHandler(new AuthAcessDeniedHandler() ) nunca é executado!

0

2 Respostas 2

4

Solução, existe um método na chamada DSL dedicada a esse "hook"

SecurityConfiguration

   http.authorizeRequests()
                    .antMatchers("/home", "/").authenticated()
                    .antMatchers("/admin/").access("hasRole('ADMIN')")
                    .and().formLogin().failureHandler(new CustomfailureHandler())
                    .loginPage("/login")
                    .usernameParameter("login").passwordParameter("pass")
                    .and()
                    .exceptionHandling().accessDeniedPage("/login?error");

            http.csrf().disable();

CustomfailureHandler

public class CustomfailureHandler implements AuthenticationFailureHandler {
    @Override
    public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException {

        request.setAttribute("error","Login inválido");

    }
}
0

Se for apenas uma mensagem para login inválido, para exibir as mensagens de erro quando ocorre falha no login, eu não configuro nada na classe, apenas deixo o padrão, que redireciona para a url login?error, então na view eu faço o seguinte:

#if($!request.getParameter('error'))
  <div class="alert alert-danger" role="alert">             
    <span>Usuário ou senha inválidos</span>                         
  </div>                        
#end

Neste exemplo usei o velocity, com jsp fica:

<c:if test="${param.error != null}">
  <div class="alert alert-danger" role="alert">             
    <span>Usuário ou senha inválidos</span>                         
  </div>    
</c:if>
3
  • não foi exatamente isso que perguntei, gostaria de tratar a condição de falha na autenticação. por exemplo, login invalido, servidor off, usuário já logado etc. preciso da resposta do spring security para ter mais certeza do que mostrar ao usuario Commented 13/04/2016 às 18:12
  • 1
    na view você tem o atributo $SPRING_SECURITY_LAST_EXCEPTION.message com a mensagem da útilma exceção, eu consegui usar ela para usuário inválido e usuário desativado, deve ter outras opções e configurando o failureHandler no SecurityConfiguration, acho que da pra criar suas exceções
    – m26a
    Commented 17/04/2016 às 18:09
  • Sim, mas a aplicação roda em todo o brasil, milhares de usuários simultaneamente logando e alterando coisas na aplicação. essa abordagem não é muito clean Commented 18/04/2016 às 19:51

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .