Yaylı güvenlik ile otomatik giriş

Question

Yay güvenliği kullanan bir uygulamam var. Kayıt işlemimde, HASHED parolasıyla yeni bir kullanıcı varlığı devam ediyor, kullanıcıya bir etkinleştirme belirteci içeren bir e-posta gönderiliyor. Bu simgeye tıklandığında kullanıcıyı, kullanıcı tarafından belirteç tarafından görünen, kullanıcıyı etkinleştiren ve uygulamaya yönlendiren bir UserActivationServlet'e yönlendirir. Ben otomatik olarak uygulamaya kullanıcıyı giriş yapmak istiyorum ve burada bu

private void authenticateUserAndSetSession(HttpServletRequest request, User u) { 
    UsernamePasswordAuthenticationToken token = new UsernamePasswordAuthenticationToken(
      u.getUsername(), u.getPassword()); //PROBLEM: THIS PASSWORD IS HASHED 

    // generate session if one doesn't exist 
    request.getSession(); 

    token.setDetails(new WebAuthenticationDetails(request)); 
    Authentication authenticatedUser = authenticationManager.authenticate(token); 

    SecurityContextHolder.getContext().setAuthentication(authenticatedUser); 
    request.getSession().setAttribute(HttpSessionSecurityContextRepository.SPRING_SECURITY_CONTEXT_KEY, 
      SecurityContextHolder.getContext()); 
} 

sorunu yapmak benim servlet'dir bu yöntemi oluşturulduğu zaman Kullanıcı varlık üzerinde şifre alanı karma edildiğini olmasıdır dahil ettik. Bu yüzden düşünebildiğim diğer bir seçenek de ihmal edilen parolayı servelet (isteksiz!) Için bir istek parametresi olarak iletmektir.

Bir şeyi özledim mi, kullanıcının kimliğini doğrulamanın başka bir yolu var mı?

Teşekkür SOA size yardımcı olabilir ben doğru anlamak

Answer 1

kullanıcı aktivasyon linke tıklandığında ve biz geçerli bir kullanıcı var onu çok net bakmis, bu yüzden gerek yoktur burada aptal ediliyordu

PreAuthenticatedAuthenticationToken token = new PreAuthenticatedAuthenticationToken(p, null, p.getAuthorities()); 

Answer 2

.

Oturum açma sayfasına yönlendirme yapmanız gerekmez, bunun yerine kullanıcının oturum açtığı hizmeti çağırmanız gerekir. Denetleyicide (veya hizmet katmanının üzerinde bir yerde) bulunan oturum açma ile ilgili mantıkların "aşağı taşınması" gerekir. 've senin servlet tarafından kullanılır. Sonra da servlet'dir gelen loginService.login(username); çağırabilir

public interface LoginService { 
    // this will be called from the login page 
    public void login(String username, String hashedPass); 

    // this will only be visible to other services 
    // you can secure it with AOP and Spring security's method security 
    public void login(String username); 
} 

:

hizmet gibi bir şey olabilir.

Veya tam durumunda

şifre olmadan jetonunuzu pass:

loginService.login(new UsernamePasswordAuthenticationToken(u.getUsername(), ""));