Spring Security验证，用中文配置提示信息

关于Spring Security的使用，之前也整理过一些笔记，但是在提示信息的时候，总感觉还缺点什么？不管是不是前后端分离，我们都希望在登录验证出现错误的时候，能够提示友好的中文信息。

在前后端不分离的情况下，是通过throw new RuntimeException("错误信息描述")来抛出异常信息的，前端通过接收到这个异常信息来进行提示；在密码校验时，是通过实现PasswordEncoder接口，来进行校验的，如果校验不通过，那么前台接收到的异常信息是Bad credentials，这是框架自带的异常信息，并不是我们想要的。

在给用户提示信息时，还是把提示信息做的精准、精确一点比较好；用户名不存在，就是应该提示用户名不存在；密码不正确，就应该提示密码输入错误；而不应该模棱两可的提示，用户名或密码错误~！

模棱两可的提示既然如此不友好，那么该怎么做才能提示正确的信息呢？这里只需两步，在不修改源代码的情况下。

第一步，建立中文提示配置文件；

AbstractAccessDecisionManager.accessDenied=不允许访问
AbstractLdapAuthenticationProvider.emptyPassword=坏的凭证
AbstractSecurityInterceptor.authenticationNotFound=未在SecurityContext中查找到认证对象
AbstractUserDetailsAuthenticationProvider.badCredentials=密码输入错误~！
AbstractUserDetailsAuthenticationProvider.credentialsExpired=用户凭证已过期
AbstractUserDetailsAuthenticationProvider.disabled=用户已失效
AbstractUserDetailsAuthenticationProvider.expired=用户帐号已过期
AbstractUserDetailsAuthenticationProvider.locked=用户帐号已被锁定
AbstractUserDetailsAuthenticationProvider.onlySupports=仅仅支持UsernamePasswordAuthenticationToken
AccountStatusUserDetailsChecker.credentialsExpired=用户凭证已过期
AccountStatusUserDetailsChecker.disabled=用户已失效
AccountStatusUserDetailsChecker.expired=用户帐号已过期
AccountStatusUserDetailsChecker.locked=用户帐号已被锁定
AclEntryAfterInvocationProvider.noPermission=给定的Authentication对象({0})根本无权操控领域对象({1})
AnonymousAuthenticationProvider.incorrectKey=展示的AnonymousAuthenticationToken不含有预期的key
BindAuthenticator.badCredentials=坏的凭证
BindAuthenticator.emptyPassword=坏的凭证
CasAuthenticationProvider.incorrectKey=展示的CasAuthenticationToken不含有预期的key
CasAuthenticationProvider.noServiceTicket=未能够正确提供待验证的CAS服务票根
ConcurrentSessionControlAuthenticationStrategy.exceededAllowed=已经超过了当前主体({0})被允许的最大会话数量
DigestAuthenticationFilter.incorrectRealm=响应结果中的Realm名字({0})同系统指定的Realm名字({1})不吻合
DigestAuthenticationFilter.incorrectResponse=错误的响应结果
DigestAuthenticationFilter.missingAuth=遗漏了针对'auth' QOP的、必须给定的摘要取值; 接收到的头信息为{0}
DigestAuthenticationFilter.missingMandatory=遗漏了必须给定的摘要取值; 接收到的头信息为{0}
DigestAuthenticationFilter.nonceCompromised=Nonce令牌已经存在问题了，{0}
DigestAuthenticationFilter.nonceEncoding=Nonce未经过Base64编码; 相应的nonce取值为 {0}
DigestAuthenticationFilter.nonceExpired=Nonce已经过期/超时
DigestAuthenticationFilter.nonceNotNumeric=Nonce令牌的第1部分应该是数字，但结果却是{0}
DigestAuthenticationFilter.nonceNotTwoTokens=Nonce应该由两部分取值构成，但结果却是{0}
DigestAuthenticationFilter.usernameNotFound=用户名{0}未找到
JdbcDaoImpl.noAuthority=没有为用户{0}指定角色
JdbcDaoImpl.notFound=未找到用户{0}
LdapAuthenticationProvider.badCredentials=坏的凭证
LdapAuthenticationProvider.credentialsExpired=用户凭证已过期
LdapAuthenticationProvider.disabled=用户已失效
LdapAuthenticationProvider.expired=用户帐号已过期
LdapAuthenticationProvider.locked=用户帐号已被锁定
LdapAuthenticationProvider.emptyUsername=用户名不允许为空
LdapAuthenticationProvider.onlySupports=仅仅支持UsernamePasswordAuthenticationToken
PasswordComparisonAuthenticator.badCredentials=坏的凭证
#PersistentTokenBasedRememberMeServices.cookieStolen=Invalid remember-me token (Series/token) mismatch. Implies previous cookie theft attack.
ProviderManager.providerNotFound=未查找到针对{0}的AuthenticationProvider
RememberMeAuthenticationProvider.incorrectKey=展示RememberMeAuthenticationToken不含有预期的key
RunAsImplAuthenticationProvider.incorrectKey=展示的RunAsUserToken不含有预期的key
SubjectDnX509PrincipalExtractor.noMatching=未在subjectDN\: {0}中找到匹配的模式
SwitchUserFilter.noCurrentUser=不存在当前用户
SwitchUserFilter.noOriginalAuthentication=不能够查找到原先的已认证对象

第二步，建立bean，覆盖框架默认的提示信息配置文件；

package com.example.demo.security;

import java.util.Locale;

import org.springframework.context.MessageSource;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.context.support.ReloadableResourceBundleMessageSource;

/**
 * Spring Security提示信息配置文件
 * @author 程就人生
 * @date 2020年4月9日
 */
@Configuration
public class MySecurityMessages {

    /**
     * 自定义错误信息
     * @return
     */
    @Bean
    public MessageSource messageSource() {
        Locale.setDefault(Locale.CHINA);
        ReloadableResourceBundleMessageSource messageSource = new ReloadableResourceBundleMessageSource();
        //中文提示信息配置文件
        messageSource.addBasenames("classpath:messages_zh_CN"); 
        return messageSource;
    }    
}

其他代码参考以前的笔记，不论是前后端分离还是不分离的，都适合用。

第三步，实现UserDetailsService的接口的类，重写loadUserByUsername方法时，无需再抛出异常，依旧可以使用throw new RuntimeException抛出不是框架验证的信息；

import java.util.ArrayList;
import java.util.List;

import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.stereotype.Component;
import org.springframework.util.StringUtils;

/**
 * 登录专用类,用户登陆时，通过这里查询数据库
 * 自定义类，实现了UserDetailsService接口，用户登录时调用的第一类
 * @author 程就人生
 * @date 2019年5月26日
 */
@Component
public class MyCustomUserService implements UserDetailsService {

    /**
     * 登陆验证时，通过username获取用户的所有权限信息
     * 并返回UserDetails放到spring的全局缓存SecurityContextHolder中，以供授权器使用
     */
    @Override
    public UserDetails loadUserByUsername(String username){
        //用户名不为空验证
        if(StringUtils.isEmpty(username)){
            throw new RuntimeException("用户名不能为空~！");
        }
        //用户名不存在验证
        if(!username.equals("admin")){
            throw new RuntimeException(String.format("账号【%s】不存在！", username));
        }
        //在这里可以自己调用数据库，对username进行查询，看看在数据库中是否存在
        MyUserDetails myUserDetail = new MyUserDetails();
        myUserDetail.setUsername(username);
        //假设后台取出来的密码为123456
        myUserDetail.setPassword("123456");
        return myUserDetail;
    }
}

有一部分验证是框架做的，提示信息也是框架提示的；还有一部分验证是通过业务逻辑也做的，这个时候还是有必要throw一下异常信息的。​

最后，测试；

用户名为空提示信息

用户名不存在提示信息

密码错误提示信息

在自定义的message的bean中，​通过实例化ReloadableResourceBundleMessageSource来重新配置属性文件，在MySecurityMessages类中，我们设置了bean的name为：

//中文提示信息配置文件
messageSource.addBasenames("classpath:messages_zh_CN"); 

在debug中，可以发现此处的locale为zh_Ch，获取到的正好是我们所配置的属性文件。在该配置文件中，可以根据自己的需要对原生框架中的提示信息进行中文定制。

源码查看

源码查看

通过这个示例，可以发现，我们是可以根据自己的业务需求来覆盖框架的原生配置，关键是要找到原生配置所在的位置及所有的提示信息​，找到了这一步，离成功就不远了。

以前整理过的笔记：
Spring Security整合thymeleaf
SpringBoot Security 整合thymeleaf模板自定义登录页面，按需提示错误信息
Spring Security整合JWT，实现单点登录，So Easy~！
SpringBoot Security前后端分离，登录退出等返回json

参考文档
https://www.jianshu.com/p/46a4355ad0a3