在spring security中實現驗證碼登錄的核心在于引入一個自定義的認證過濾器，其作用是攔截登錄請求并驗證驗證碼的有效性，確保用戶名密碼認證流程僅在驗證碼正確的情況下執行。1. 創建生成與存儲驗證碼的控制器，用于生成驗證碼圖片和文本，并將驗證碼文本存儲于Session或分布式緩存如redis中；2. 實現自定義驗證碼認證過濾器，繼承usernamepasswordauthenticationfilter，在attemptauthentication方法中校驗用戶提交的驗證碼與服務器端存儲的驗證碼是否匹配，若不匹配則拋出異常并拒絕認證；3. 調整spring security配置，通過addfilterbefore方法將自定義過濾器插入到usernamepasswordauthenticationfilter之前，以確保驗證碼校驗先于用戶名密碼認證執行。驗證碼的存在有效防止自動化攻擊，提升了系統的安全性。
在spring security中實現驗證碼登錄，核心在于引入一個自定義的認證過濾器（通常在用戶名密碼認證之前執行），它負責攔截登錄請求，從請求中提取驗證碼并與服務器端存儲的驗證碼進行比對。驗證碼通過后，請求才能繼續流轉到Spring Security內置的用戶名密碼認證流程；若驗證碼不匹配或已失效，則直接拒絕認證，并返回相應的錯誤信息。這個過程確保了在嘗試實際的用戶憑證認證之前，先完成一個初步的安全校驗，有效抵御自動化攻擊。
解決方案
要實現Spring Security的驗證碼登錄，我們需要幾個關鍵組件的協作：一個生成并存儲驗證碼的控制器、一個自定義的認證過濾器來校驗驗證碼，以及對Spring Security配置的相應調整。
-
驗證碼生成與存儲： 創建一個restful接口，用于生成驗證碼圖片和對應的文本。驗證碼文本通常存儲在用戶的Session中，或者對于前后端分離架構，可以存儲在redis等分布式緩存中，并返回一個與驗證碼圖片關聯的唯一ID給前端。
// 簡化示例，實際生產環境需更完善的驗證碼生成庫 @RestController public class CaptchaController { @GetMapping("/captcha") public void generateCaptcha(HttpServletRequest request, HttpServletResponse response) throws IOException { response.setHeader("Cache-Control", "no-store, no-cache"); response.setContentType("image/jpeg"); // 生成隨機驗證碼文本 String captchaText = generateRandomText(4); request.getSession().setAttribute("captcha", captchaText); // 存儲在Session // 繪制圖片并輸出 BufferedImage image = drawCaptchaimage(captchaText); ImageIO.write(image, "jpeg", response.getOutputStream()); } private String generateRandomText(int length) { /* ... */ return "abcd"; } private BufferedImage drawCaptchaImage(String text) { /* ... */ return new BufferedImage(100, 40, BufferedImage.TYPE_INT_RGB); } }
-
自定義驗證碼認證過濾器： 這個過濾器需要繼承UsernamePasswordAuthenticationFilter或者AbstractAuthenticationProcessingFilter，并在attemptAuthentication方法中加入驗證碼校驗邏輯。
public class CaptchaAuthenticationFilter extends UsernamePasswordAuthenticationFilter { private String captchaParameter = "captcha"; // 登錄請求中驗證碼的參數名 public CaptchaAuthenticationFilter() { // 設置默認的認證請求URL，通常與表單登錄處理URL一致 setFilterProcessesUrl("/login"); } @Override public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException { // 確保是POST請求，防止GET請求觸發認證 if (!request.getMethod().equals("POST")) { throw new AuthenticationServiceException("Authentication method not supported: " + request.getMethod()); } // 獲取用戶提交的驗證碼 String submittedCaptcha = obtainCaptcha(request); // 獲取Session中存儲的驗證碼 String storedCaptcha = (String) request.getSession().getAttribute("captcha"); // 校驗驗證碼 if (submittedCaptcha == null || !submittedCaptcha.equalsIgnoreCase(storedCaptcha)) { // 清除Session中的驗證碼，防止重復使用 request.getSession().removeAttribute("captcha"); throw new BadCredentialsException("驗證碼不正確或已失效"); } // 驗證碼通過，清除Session中的驗證碼 request.getSession().removeAttribute("captcha"); // 繼續父類的認證流程（用戶名密碼認證） return super.attemptAuthentication(request, response); } protected String obtainCaptcha(HttpServletRequest request) { return request.getParameter(captchaParameter); } public void setCaptchaParameter(String captchaParameter) { this.captchaParameter = captchaParameter; } } -
Spring Security配置： 將自定義的CaptchaAuthenticationFilter添加到Spring Security的過濾鏈中，通常放在UsernamePasswordAuthenticationFilter之前。
@Configuration @EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { @Autowired private UserDetailsService userDetailsService; // 你的用戶服務 @Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(); } @Override protected void configure(HttpSecurity http) throws Exception { // 實例化自定義過濾器，并設置認證管理器 CaptchaAuthenticationFilter captchaAuthenticationFilter = new CaptchaAuthenticationFilter(); captchaAuthenticationFilter.setAuthenticationManager(authenticationManagerBean()); // 設置認證成功/失敗處理器 captchaAuthenticationFilter.setAuthenticationSuccessHandler(new SimpleUrlAuthenticationSuccessHandler("/index")); captchaAuthenticationFilter.setAuthenticationFailureHandler(new SimpleUrlAuthenticationFailureHandler("/login?error")); http .authorizeRequests() .antMatchers("/login", "/captcha", "/css/**", "/js/**").permitAll() // 允許訪問登錄頁、驗證碼接口等 .anyRequest().authenticated() // 其他所有請求都需要認證 .and() .formLogin() .loginPage("/login") // 自定義登錄頁 .loginProcessingUrl("/login") // 處理登錄請求的URL .permitAll() .and() .addFilterBefore(captchaAuthenticationFilter, UsernamePasswordAuthenticationFilter.class) // 將自定義過濾器添加到UsernamePasswordAuthenticationFilter之前 .csrf().disable(); // 實際項目中CSRF保護不應禁用，這里為簡化示例 } @Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder()); } @Bean @Override public AuthenticationManager authenticationManagerBean() throws Exception { return super.authenticationManagerBean(); } }
為什么傳統的用戶名密碼登錄需要加上驗證碼？
說實話，這就像給家門多加了一道鎖，雖然麻煩點，但能擋住不少不懷好意的家伙。傳統的用戶名密碼登錄方式，在面對自動化工具和腳本時顯得非常脆弱。想象一下，一個機器人可以毫不停歇地嘗試成千上萬個密碼組合，或者利用泄露的用戶名列表去“撞庫”。這種情況下，沒有驗證碼的防護，你的用戶賬戶安全風險會急劇上升。
驗證碼的存在，主要就是為了區分操作者是“人”還是“機器”。它引入了一個機器難以自動化識別和處理的環節，比如識別扭曲的字符、點擊特定的圖片區域，或者進行簡單的數學運算。這使得那些旨在暴力破解、撞庫攻擊、垃圾注冊或批量灌水的自動化腳本寸步難行。當然，驗證碼本身也在不斷演進，從最初的字符識別到現在的行為驗證、滑塊驗證，目的都是為了在不給正常用戶帶來過多困擾的前提下，盡可能地提高機器識別的門檻。從我個人的經驗來看，雖然有時會覺得驗證碼有點煩，但考慮到它在阻止惡意行為上的作用，這種“煩惱”還是值得的。
Spring Security中如何優雅地集成驗證碼校驗邏輯？
在Spring Security里集成驗證碼校驗，我覺得最“優雅”的方式，就是把它作為一個前置的認證步驟，而不是揉進核心的用戶認證邏輯里。這樣設計，既能保持Spring Security核心認證流程的純粹性，又能靈活地插入我們自己的安全校驗。
具體來說，關鍵在于自定義一個認證過濾器。這個過濾器要放在Spring Security默認的UsernamePasswordAuthenticationFilter之前。為什么是之前？因為我們希望在用戶名和密碼被Spring Security的AuthenticationManager處理之前，就先完成驗證碼的校驗。如果驗證碼都不對，那根本沒必要去數據庫里比對用戶名密碼了，直接就打回去了，這能有效減輕后端認證服務的壓力，也避免了不必要的數據庫查詢。
這個自定義過濾器會從請求中拿到用戶輸入的驗證碼，然后去和服務器端（比如Session或redis）存儲的正確驗證碼進行比對。如果比對失敗，它就直接拋出一個AuthenticationException，比如BadCredentialsException或者AuthenticationServiceException，這樣Spring Security的認證失敗處理器就能捕獲到，并給用戶返回一個明確的錯誤提示，比如“驗證碼錯誤”。如果驗證碼校驗通過，過濾器就放行請求，讓它繼續流轉到Spring Security的下一個過濾器，最終由UsernamePasswordAuthenticationFilter來處理用戶名和密碼的認證。
這種做法的好處是，驗證碼校驗邏輯與Spring Security的認證核心解耦，我們可以根據需要更換驗證碼的實現方式（比如從圖片驗證碼換成滑塊驗證碼），而無需改動Spring Security的底層配置。同時，通過addFilterBefore方法，我們能精確控制這個自定義過濾器在整個安全鏈中的位置，確保它在最合適的時候發揮作用。
驗證碼失效或校驗失敗后，用戶體驗和錯誤處理應該如何優化？
沒人喜歡看到一個冷冰冰的“登錄失敗”提示，尤其是在驗證碼輸錯的時候。優化用戶體驗和錯誤處理，是讓用戶覺得你的系統更“人性化”的關鍵。
當驗證碼失效或校驗失敗時，首先要做的是給出明確的錯誤信息。比如，不是簡單地提示“登錄失敗”，而是明確告知“驗證碼錯誤”或“驗證碼已失效，請重新獲取”。這能立即幫助用戶定位問題，避免他們反復嘗試錯誤的用戶名密碼。
在前端，一旦驗證碼校驗失敗，應該自動刷新驗證碼圖片，讓用戶無需手動點擊刷新按鈕。這是一種細微但很重要的用戶體驗優化。同時，如果驗證碼是有時效性的（比如3分鐘），可以在前端顯示一個倒計時，提醒用戶驗證碼即將過期，或者在過期前自動刷新。
在后端，除了拋出AuthenticationException，我們還可以利用Spring Security提供的AuthenticationFailureHandler接口來定制認證失敗后的處理邏輯。在這個處理器中，我們可以根據異常類型（比如我們自定義的驗證碼異常）來決定跳轉到哪個頁面，或者返回什么樣的json響應。例如，對于ajax登錄請求，我們可以返回一個包含錯誤代碼和消息的JSON對象，前端根據這個JSON來更新UI，顯示具體的錯誤信息。
此外，為了防止惡意用戶通過不斷提交錯誤的驗證碼來消耗服務器資源，可以考慮在驗證碼校驗失敗達到一定次數后，對該IP地址或用戶進行短時間的鎖定或限流。這是一種額外的安全防護措施，雖然可能對個別手殘黨不太友好，但對于系統整體的健壯性是很有幫助的。總的來說，錯誤處理不僅僅是拋出異常，更要思考如何通過友好的反饋和恰當的策略，引導用戶完成操作，同時保障系統安全。
