srping security3.0(一)----登陆不能抛出自己定义的异常,用户不存在异常,用户尝试登陆次数过多,回到登陆之前访问的页面
spring security3.0默认的表单登陆并不会抛出UsernameNotFoundException异常，我尝试了多次， 自定配置了bean， 也把错误信息扔到了session属性都没有解决
public final class WebAttributes {
public static final String AUTHENTICATION_EXCEPTION = "SPRING_SECURITY_LAST_EXCEPTION";
得到的老是令人讨厌的Bad credentials（当然可以通过message.property可以做国际化, spring security3提供的, 我们写个中文的属性文件就可以了。
之所以我想在登陆验证时抛出异常是出于两个目的：
1 提示用户不存在
2 提示用户输入密码错误最大次数不能超过3， 超过3则锁定账号， 让管理员自己去解锁。
（注意：账号可用，过期，是否锁定， 这些是spring security3自带的异常， 没必要我们再去扔出了， 上面列的2个是我自定义的异常。
补充一点，默认的登录表单异常处理是在类SimpleUrlAuthenticationFailureHandler里处理的。
有个不一样的地方是， spring security并不是直接抛出异常， 而是包装了放在session里，属性名就是
WebAttributes.AUTHENTICATION_EXCEPTION
我自定义了异常处理， 不用SimpleUrlAuthenticationFailureHandler
public class AccessAuthenticationFailureHandler implements AuthenticationFailureHandler { protected final Log logger = LogFactory.getLog(getClass()); private String defaultFailureUrl; private boolean forwardToDestination = false; private boolean allowSessionCreation = true; private RedirectStrategy redirectStrategy = new DefaultRedirectStrategy(); public final static String TRY_MAX_COUNT="tryMaxCount"; private int maxTryCount=3; public AccessAuthenticationFailureHandler() { } public AccessAuthenticationFailureHandler(String defaultFailureUrl) { setDefaultFailureUrl(defaultFailureUrl); } /** * Performs the redirect or forward to the {@code defaultFailureUrl} if set, otherwise returns a 401 error code. *
* If redirecting or forwarding, {@code saveException} will be called to cache the exception for use in * the target view. */ @SuppressWarnings("unchecked") public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException { HttpSession session=request.getSession(); Integer tryCount=(Integer) session.getAttribute(TRY_MAX_COUNT); if(tryCount==null){ session.setAttribute(TRY_MAX_COUNT, 1);//增加失败次数 }else{ if(tryCount>maxTryCount-1){ //锁定账户 BaseDao baseDao=(BaseDao) ConfigConstants.context.getBean("baseDao"); String name=request.getParameter(UsernamePasswordAuthenticationFilter.SPRING_SECURITY_FORM_USERNAME_KEY); List * If {@code forwardToDestination} is set to true, request scope will be used, otherwise it will attempt to store * the exception in the session. If there is no session and {@code allowSessionCreation} is {@code true} a session * will be created. Otherwise the exception will not be stored. */ protected void saveException(HttpServletRequest request, AuthenticationException exception) { if (forwardToDestination) { request.setAttribute(WebAttributes.AUTHENTICATION_EXCEPTION, exception); } else { HttpSession session = request.getSession(false); if (session != null || allowSessionCreation) { if(request.getSession().getAttribute(WebAttributes.AUTHENTICATION_EXCEPTION)==null) request.getSession().setAttribute(WebAttributes.AUTHENTICATION_EXCEPTION, exception); } } } session.getAttribute(TRY_MAX_COUNT); 这里记得登陆成功了之后要清掉 具体办法是：在这里清掉 public class AccessSavedRequestAwareAuthenticationSuccessHandler extends SimpleUrlAuthenticationSuccessHandler { 对应的配置文件 这个是支持登陆成功之后， 进入没有登陆之前访问的地址。 下面是登陆多次失败的配置： 在源码里可以看到DaoAuthenticationProvide r的父类AbstractUserDetailsAuthenticationProvider有一个属性hideUserNotFoundExceptions 在配置中即可看出 hideUserNotFoundExceptions = true代表隐藏真实的异常， 改为false即可显示你自己的异常了。 不过要继承AuthenticationException这个异常哦。