fix(SSO): 浪潮门户登录改为免密，修复「租户账号[xxx]登录失败(用户不存在/密码错误)」

tuqin

8 天以前 caea76a92e234083879fd6f5993a91ebbe8c4a4d

fix(SSO): 浪潮门户登录改为免密，修复「租户账号[xxx]登录失败(用户不存在/密码错误)」

现象：从浪潮门户点进系统报
  浪潮单点登录失败：租户账号[YANSHOU]在系统中登录失败（用户不存在/密码错误）

根因：TideController.tideLogin 拿到浪潮返回的 tenantAccount + tenantPassword 后，
调用 login(username, password, ...) 走本地密码校验（AuthenticationManager →
UserDetailsServiceImpl.loadUserByUsername → passwordService.validate）。但 tenantPassword
是浪潮系统详情里单独配置的值，与本地 sys_user.password 是两套东西：浪潮侧改密码、
本地重置密码、或账号由 applicationOrdering 创建后密码被改过，任一种情况都会导致不一致，
表现为门户整条登录链路断掉。

而实际上鉴权在浪潮侧已完成（能用 code 换到有效 token 并取回 userInfo，身份即可信），
本地再用 tenantPassword 二次校验没有安全收益，只会引入密码同步问题。

改动：
1. SysLoginService 新增 ssoLogin(String username)
   - 不走 authenticationManager.authenticate，不调 passwordService.validate
   - 直接 userService.selectUserByUserName + UserDetailsServiceImpl.createLoginUser
   - 仍保留校验：用户不存在 / 已删除 / 已停用 三种情况拒绝登录
   - 写入登录日志（「浪潮门户 SSO 登录」）并更新最后登录 IP/时间
2. SysLoginService 注入 UserDetailsServiceImpl、新增 Logger、UserStatus import
3. TideController.tideLogin 改为调用 loginService.ssoLogin(account)
4. TideController 的账号/密码非空校验放宽为只校验账号（免密后 password 不再必需）

影响范围：仅 /tide/tideLogin（浪潮门户单点登录入口）。
账号密码登录 /login 完全不受影响，仍走原 login() 校验。

 src/main/java/com/ruoyi/framework/security/service/SysLoginService.java

@@ -10,10 +10,13 @@
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;

import org.springframework.security.core.Authentication;

import org.springframework.security.core.context.SecurityContextHolder;

import org.slf4j.Logger;

import org.slf4j.LoggerFactory;

import org.springframework.stereotype.Component;

import com.ruoyi.common.constant.CacheConstants;

import com.ruoyi.common.constant.Constants;

import com.ruoyi.common.constant.UserConstants;

import com.ruoyi.common.enums.UserStatus;

import com.ruoyi.common.exception.ServiceException;

import com.ruoyi.common.exception.user.BlackListException;

import com.ruoyi.common.exception.user.CaptchaException;

@@ -45,8 +48,13 @@
@Component

public class SysLoginService

{

    private static final Logger log = LoggerFactory.getLogger(SysLoginService.class);



    @Autowired

    private TokenService tokenService;



    @Autowired

    private UserDetailsServiceImpl userDetailsService;



    @Resource

    private AuthenticationManager authenticationManager;

@@ -281,4 +289,53 @@
        return tokenService.createToken(loginUser);

    }



    /**

     * 浪潮门户 SSO 免密登录

     * <p>

     * 背景：浪潮 OSS 通过 /tide/tideLogin 把 code 换成 token，再取到 tenant 信息后，

     * 原本调用 login(username, password, code, uuid) 用 tenantAccount + tenantPassword

     * 做本地登录。但 tenantPassword 是浪潮系统详情里单独配置的值，与本地 sys_user.password

     * 一旦不一致（浪潮侧改密码、本地重置密码、账号由 applicationOrdering 创建后改过密码等），

     * 就会报「租户账号[xxx]在系统中登录失败(用户不存在/密码错误)」，导致门户整条登录链路断掉。

     * <p>

     * 鉴权实际上在浪潮侧已经完成（能拿到有效 token 和 userInfo 就说明身份可信），

     * 本地无需再次校验密码。这里直接按用户名加载用户并签发本系统 token。

     * <p>

     * 仍然保留的校验：用户不存在、已删除、已停用 —— 这三种情况拒绝登录。

     *

     * @param username 浪潮返回的租户账号（tenantAccount）

     * @return 本系统 token

     */

    public String ssoLogin(String username)

    {

        SysUser user = userService.selectUserByUserName(username);

        if (StringUtils.isNull(user))

        {

            log.info("SSO 登录：用户 {} 不存在.", username);

            AsyncManager.me().execute(AsyncFactory.recordLogininfor(username, Constants.LOGIN_FAIL,

                    MessageUtils.message("user.not.exists")));

            throw new UserNotExistsException();

        }

        if (UserStatus.DELETED.getCode().equals(user.getDelFlag()))

        {

            log.info("SSO 登录：用户 {} 已被删除.", username);

            AsyncManager.me().execute(AsyncFactory.recordLogininfor(username, Constants.LOGIN_FAIL,

                    MessageUtils.message("user.password.delete")));

            throw new ServiceException(MessageUtils.message("user.password.delete"));

        }

        if (UserStatus.DISABLE.getCode().equals(user.getStatus()))

        {

            log.info("SSO 登录：用户 {} 已被停用.", username);

            AsyncManager.me().execute(AsyncFactory.recordLogininfor(username, Constants.LOGIN_FAIL,

                    MessageUtils.message("user.blocked")));

            throw new ServiceException(MessageUtils.message("user.blocked"));

        }

        // 免密：直接构造 LoginUser（不调用 passwordService.validate）

        LoginUser loginUser = (LoginUser) userDetailsService.createLoginUser(user);

        AsyncManager.me().execute(AsyncFactory.recordLogininfor(username, Constants.LOGIN_SUCCESS,

                "浪潮门户 SSO 登录"));

        recordLoginInfo(user.getUserId());

        return tokenService.createToken(loginUser);

    }



}


 src/main/java/com/ruoyi/tide/controller/TideController.java

@@ -105,12 +105,16 @@
        if (ObjectUtils.isEmpty(password)) {
            password = firstText(userInfo, "tenantPassword", "password", "pwd");
        }
        if (ObjectUtils.isEmpty(account) || ObjectUtils.isEmpty(password)) {
            log.error("[浪潮SSO] 未取到租户账号/密码, userInfo={}", userInfo);
        // 免密登录只需账号；password 仅作日志参考，浪潮侧不返回也不影响登录
        if (ObjectUtils.isEmpty(account)) {
            log.error("[浪潮SSO] 未取到租户账号, userInfo={}", userInfo);
            return AjaxResult.error("浪潮未返回企业租户账号信息，请联系平台管理员检查该账号的企业绑定");
        }
        try {
            String generateToken = loginService.login(account, password, null, IdWorker.get32UUID());
            // 浪潮侧已完成身份认证（code 换 token → 取 userInfo），本地不再用 tenantPassword 二次校验。
            // 原实现 login(account, password, ...) 在浪潮配置的密码与本地 sys_user.password 不一致时
            // 会抛 UserPasswordNotMatchException，表现为「租户账号[xxx]在系统中登录失败(用户不存在/密码错误)」。
            String generateToken = loginService.ssoLogin(account);
            AjaxResult ajax = AjaxResult.success();
            ajax.put(Constants.TOKEN, generateToken);
            return ajax;