【Spring Security】emailとpasswordでログイン認証を行うpart1

Question

前提・実現したいこと

Spring Securityでemailとpasswordを用いてログイン認証を行う。

###問題
すでに実装済みのアカウント登録機能で登録したemailをJpaUserDetailsServiceImplのfindByAccountEmailメソッドでDBから引っ張ってこれているにも関わらずhttp://localhost:8080/login/?errorに遷移しログインができない。

該当のソースコード

    
package com.example.demo.entity;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.userdetails.UserDetails;
import javax.persistence.*;
import java.sql.Timestamp;
import java.util.Collection;
import java.util.Date;

@Entity
@Table(name = "accounts")
public class Account implements UserDetails {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    @Column(name = "account_id")
    private int accountId;

   
    @Column(name = "account_email", nullable = false)
    private String accountEmail;

    @Column(name = "account_password", nullable = false)
    private String accountPassword;

    @Column(name = "account_delete_flag", nullable = false)
    private int accountDeleteFlag;


    public int getAccountId() {
        return accountId;
    }

    public String getAccountEmail() {
        return accountEmail;
    }

    public String getAccountPassword() {
        return accountPassword;
    }


    public Timestamp getAccountRegisterDate() {
        return accountRegisterDate;
    }

    public int getAccountDeleteFlag() {
        return accountDeleteFlag;
    }

    public void setAccountId(int accountId) {
        this.accountId = accountId;
    }


    public void setAccountEmail(String accountEmail) {
        this.accountEmail = accountEmail;
    }

    public void setAccountPassword(String accountPassword) {
        this.accountPassword = accountPassword;
    }

    public void setAccountDeleteFlag(int accountDeleteFlag) {
        this.accountDeleteFlag = accountDeleteFlag;
    }

    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        return null;
    }

    @Override
    public String getUsername() {
        return this.accountEmail;
    }

    @Override
    public String getPassword() {
        return this.accountPassword;
    }

    @Override
    public boolean isAccountNonExpired() {
        return false;
    }

    @Override
    public boolean isAccountNonLocked() {
        return false;
    }

    @Override
    public boolean isCredentialsNonExpired() {
        return false;
    }

    @Override
    public boolean isEnabled() {
        return false;
    }
}

package com.example.demo.entity;

import org.springframework.data.jpa.repository.JpaRepository;
import org.springframework.data.jpa.repository.JpaSpecificationExecutor;
import org.springframework.data.jpa.repository.Query;
import org.springframework.data.repository.query.Param;

import java.util.List;
public interface AccountRepository extends JpaRepository<Account, Integer>, JpaSpecificationExecutor<Account> {

    @Query(value = "SELECT * FROM accounts WHERE account_email = :account_email AND account_delete_flag = 0", nativeQuery = true)
    Account findByAccountEmail(@Param("account_email") String accountEmail);

    /**
     * Emailに紐づくアカウントの件数を取得する。
     *
     * @param account_email Email
     * @return 件数
     */
 
    @Query(value = "SELECT COUNT(*) FROM accounts WHERE account_email = :account_email AND account_delete_flag = 0", nativeQuery = true)
    int countByAccountEmail(@Param("account_email") String accountEmail);

    /**
     * 全アカウントを検索する。
     *
     * @return 全アカウントのリスト
     */
    @Query(value = "SELECT * FROM accounts WHERE account_delete_flag = 0", nativeQuery = true)
    List<Account> findAllAccount();
}

package com.example.demo.config;

import com.example.demo.service.JpaUserDetailsServiceImpl;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.authentication.configuration.GlobalAuthenticationConfigurerAdapter;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    public void configure(WebSecurity web) {
        // 認証状態によらず許可するパス
        web.ignoring().antMatchers("/favicon.ico", "/css/**", "/js/**", "/bootstrap/css/**", "/bootstrap/js/**", "/jquery/**", "/img/**", "/fonts/**");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {

        // SessionFixation対策
        http.sessionManagement().sessionFixation().newSession();

        http.authorizeRequests()
                // 認証状態によらず許可するURL
                .antMatchers("/").permitAll()
                .antMatchers("/login").permitAll()
                .antMatchers("/account/register/**").permitAll()
                .antMatchers("/resources/**").permitAll()
                .anyRequest().authenticated();

        http.formLogin()
                .loginPage("/login") // ログインページのパス
                .loginProcessingUrl("/login") // 認証処理を起動させるパス
                .failureUrl("/login/?error") // ログイン処理失敗時の遷移先
                .successForwardUrl("/top/loginSuccess") // ログイン成功時の繊維先
                .usernameParameter("login_id")// ユーザid
                .passwordParameter("login_password").permitAll(); // パスワード

        http.logout()
                .logoutUrl("/logout") // ログアウト処理を起動させるパス
                .logoutSuccessUrl("/login") // ログアウト完了時のパス
                .deleteCookies("JSESSIONID", "SESSION")
                .invalidateHttpSession(true).permitAll();

    }

    @Configuration
    protected static class AuthenticationConfiguration
            extends GlobalAuthenticationConfigurerAdapter {

        final JpaUserDetailsServiceImpl userDetailsService;

        @Autowired
        public AuthenticationConfiguration(JpaUserDetailsServiceImpl userDetailsService) {
            this.userDetailsService = userDetailsService;
        }

        @Override
        public void init(AuthenticationManagerBuilder auth) throws Exception {
            // 認証するユーザーを設定する
            auth.userDetailsService(userDetailsService)
                    // 入力値をbcryptでハッシュ化した値でパスワード認証を行う
                    .passwordEncoder(new BCryptPasswordEncoder());
        }
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

package com.example.demo.service;
import com.example.demo.entity.Account;
import com.example.demo.entity.AccountRepository;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Component;
import org.springframework.transaction.annotation.Transactional;
import java.util.Objects;
@Component
@Transactional
public class JpaUserDetailsServiceImpl implements UserDetailsService {

    /** アカウントリポジトリ */
    private final AccountRepository accountRepository;

    @Autowired
    public JpaUserDetailsServiceImpl(AccountRepository accountRepository) {
        this.accountRepository = accountRepository;
    }

    @Override
    public UserDetails loadUserByUsername(String accountEmail) throws UsernameNotFoundException {
        Account account = accountRepository.findByAccountEmail(accountEmail);
        if (Objects.isNull(account)) {
            return new Account();
        }
        return account;
    }
}

試したこと

1. WebSecurityConfigのfailureUrlをコメントアウト

→依然ログイン失敗、URLに/login?errorが表示される
2. Spring Security関連のブログやQiita等を散見
→解決せず

補足情報（FW/ツールのバージョンなど）

もともとuserIdとpasswordでログイン認証を行なっていたアプリのソースコードを元にemailでログインできるよう編集中

上記の問題でかなり長いこと詰まっているため解決方法ご教示いただけると幸いです。

Comments

[退会済みユーザー]

で？エラーログ確認してない人に回答がつくことはないと思うが

[退会済みユーザー]

ご意見いただきありがとうございます。
プログラミング初心者なため至らない点どうかご容赦ください。

コメントの件ですが、ここでのエラーログとはスタックトレースのことでしょうか？
今回はログイン成功先に遷移せず、ログイン失敗先に遷移しているためプログラム上のエラーがありません。
そのためスタックトレース上にもエラーが表示されないためどこが問題かわからない状態です。

私の「エラーログ」に関する受け取り方が間違っていればその点ご指摘ください。
よろしくお願いいたします。

[退会済みユーザー]

おそらく認証で「BadCredentialsException」か「IllegalArgumentException("Bad strength")」が投げられてるきがするんだが

[退会済みユーザー]

ちなみに一応確認しておこう（ｗ

SELECT * FROM accounts WHERE account_email = :account_email AND account_delete_flag = 0 AND account_password = :account_password

:account_email は あなたが画面で入力したメールアドレス
:account_password は あなたが画面で入力したパスワード

で1件の返却があるならログインできません。

[退会済みユーザー]

回答ありがとうございます。
1. BadCredentialsException等のエラーメッセージは見受けられませんでした。
2. JpaUserDetailsServiceImplの中でオーバーライドしているUserDetailsのloadUserByUsernameはemailの値をキーにしてアカウント情報の存在を確認するだけという認識でしたので、記載いただいた「AND account_password = :account_password」を含むクエリ文は書いていません。
その上で「1件の返却があるならログインできない」という件について詳細お聞きすることは可能でしょうか？
お手数おかけしますがよろしくお願いいたします。

[rubytomato]

accountsテーブルに登録したデータは動作検証用だと思うのですが、データはinsert文を直接実行して登録されたのでしょうか?
それともアカウント登録画面も実装済みで画面から登録されたのでしょうか?

[退会済みユーザー]

コメントありがとうございます。
こちらアカウント登録画面が実装済で画面上から登録いたしました。
なおパスワードはBCryptPasswordEncoderを使用しハッシュ化した状態で登録しております。

[rubytomato]

ご確認ありがとうございます。
それではフレームワークのバージョンと、差し支えなければpom.xmlとjavaソースコードについてはimport文も質問に記載をお願いできますでしょうか。

[退会済みユーザー]

文字数制限のため下記リンクにpom.xml追記とTopコントローラーとlogin.htmlの移動を行いました。
見にくくて申し訳ありませんがよろしくお願いいたします。

https://teratail.com/questions/203137にpom.xml

Answer 1

セッションに保存された例外は故意的じゃないとログに出なかったためちゃんと回答しておくか・・

    @Override
    public boolean isAccountNonExpired() {
// false : アカウント有効期限切れ
        return false;
    }

    @Override
    public boolean isAccountNonLocked() {
// false : アカウントロック中
        return false;
    }

    @Override
    public boolean isCredentialsNonExpired() {
// false : パスワード有効期限切れ
        return false;
    }

    @Override
    public boolean isEnabled() {
// false : アカウント無効
        return false;
    }

うん、ログインできないのは当たり前だね

Comments

[退会済みユーザー]

ちなみに
isEnabled() == false => DisabledException
isAccountNonLocked() == false =>LockedException
isAccountNonExpired() == false => AccountExpiredException
isCredentialsNonExpired() == false => CredentialsExpiredException
dbPassword != inputHashPassword => BadCredentialsException
username == "" => UsernameNotFoundException

という例外が発生しています。

[退会済みユーザー]

Entityは完全に見落としていました、、
お付き合いいただきありがとうございます。
おそらくご指摘いただいた内容で解決できると思いますので帰宅次第確認させていただきます。