在spring boot应用中，spring security过滤器链中发生的认证或授权异常（如`authenticationexception`或`accessdeniedexception`）通常不会被全局的`@controlleradvice`捕获，导致客户端收到默认的、不友好的响应，例如仅在`www-authenticate`头中提供错误信息。本文将深入探讨如何通过实现自定义的`authenticationentrypoint`和`accessdeniedhandler`接口，在spring security的过滤器链中捕捕获这些异常，并生成结构化的json错误响应，从而为用户提供更清晰、一致的错误提示。
Spring Security过滤器链中的异常处理机制
Spring Security的过滤器链在请求到达控制器层之前执行。这意味着，如果在认证（Authentication）或授权（Authorization）阶段发生异常，例如用户未认证或无权访问特定资源，这些异常会在到达@ControllerAdvice或@ExceptionHandler定义的全局异常处理器之前被Spring Security自身的机制处理。默认情况下，Spring Security可能会重定向到登录页、返回401/403状态码，并将错误信息置于响应头中，如WWW-Authenticate。为了提供更友好的、结构化的（例如JSON格式）错误响应体，我们需要介入Spring Security的异常处理流程。
Spring Security主要处理两种类型的运行时异常：
- AuthenticationException: 当用户尝试访问受保护资源但未认证（即未提供有效凭据或凭据无效）时抛出。
- AccessDeniedException: 当用户已认证但无权访问特定资源时抛出。
为了定制这些异常的响应，Spring Security提供了两个核心接口：AuthenticationEntryPoint和AccessDeniedHandler。
处理未认证异常：AuthenticationEntryPoint
AuthenticationEntryPoint接口用于处理AuthenticationException，即当用户尝试访问需要认证的资源但其请求中不包含或包含无效的认证信息时。
接口定义与实现
AuthenticationEntryPoint接口只有一个方法：
public interface AuthenticationEntryPoint {
void commence(HttpServletRequest request, HttpServletResponse response,
AuthenticationException authException) throws IOException, ServletException;
}在commence方法中，我们可以拦截AuthenticationException，并自定义响应。以下是一个示例，展示如何返回一个JSON格式的错误响应：
import com.fasterxml.jackson.databind.ObjectMapper;
import org.springframework.http.HttpStatus;
import org.springframework.http.MediaType;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.web.AuthenticationEntryPoint;
import org.springframework.stereotype.Component;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.util.HashMap;
import java.util.Map;
@Component
public class CustomAuthenticationEntryPoint implements AuthenticationEntryPoint {
private final ObjectMapper objectMapper = new ObjectMapper();
@Override
public void commence(HttpServletRequest request, HttpServletResponse response,
AuthenticationException authException) throws IOException, ServletException {
// 设置响应状态码为401 Unauthorized
response.setStatus(HttpStatus.UNAUTHORIZED.value());
// 设置响应内容类型为JSON
response.setContentType(MediaType.APPLICATION_JSON_VALUE);
// 设置字符编码
response.setCharacterEncoding("UTF-8");
// 构建JSON错误消息
Map errorDetails = new HashMap<>();
errorDetails.put("status", HttpStatus.UNAUTHORIZED.value());
errorDetails.put("error", "Unauthorized");
errorDetails.put("message", "Authentication required or failed: " + authException.getMessage());
errorDetails.put("path", request.getRequestURI());
// 将错误消息写入响应体
objectMapper.writeValue(response.getWriter(), errorDetails);
}
} 处理访问拒绝异常：AccessDeniedHandler
AccessDeniedHandler接口用于处理AccessDeniedException，即当已认证的用户尝试访问其没有权限的资源时。
接口定义与实现
AccessDeniedHandler接口也只有一个方法：
public interface AccessDeniedHandler {
void handle(HttpServletRequest request, HttpServletResponse response,
AccessDeniedException accessDeniedException) throws IOException, ServletException;
}与AuthenticationEntryPoint类似，我们可以在handle方法中定制响应。
import com.fasterxml.jackson.databind.ObjectMapper;
import org.springframework.http.HttpStatus;
import org.springframework.http.MediaType;
import org.springframework.security.access.AccessDeniedException;
import org.springframework.security.web.access.AccessDeniedHandler;
import org.springframework.stereotype.Component;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.util.HashMap;
import java.util.Map;
@Component
public class CustomAccessDeniedHandler implements AccessDeniedHandler {
private final ObjectMapper objectMapper = new ObjectMapper();
@Override
public void handle(HttpServletRequest request, HttpServletResponse response,
AccessDeniedException accessDeniedException) throws IOException, ServletException {
// 设置响应状态码为403 Forbidden
response.setStatus(HttpStatus.FORBIDDEN.value());
// 设置响应内容类型为JSON
response.setContentType(MediaType.APPLICATION_JSON_VALUE);
// 设置字符编码
response.setCharacterEncoding("UTF-8");
// 构建JSON错误消息
Map errorDetails = new HashMap<>();
errorDetails.put("status", HttpStatus.FORBIDDEN.value());
errorDetails.put("error", "Forbidden");
errorDetails.put("message", "You do not have permission to access this resource: " + accessDeniedException.getMessage());
errorDetails.put("path", request.getRequestURI());
// 将错误消息写入响应体
objectMapper.writeValue(response.getWriter(), errorDetails);
}
} 注册自定义处理器
要使上述自定义处理器生效，需要将其注册到Spring Security的配置中。这通常在继承WebSecurityConfigurerAdapter的配置类中完成，或者在Spring Security 5.7+版本中通过SecurityFilterChain Bean进行配置。
Spring Security配置示例 (Spring Security 5.7+ 或更高版本)
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;
@Configuration
@EnableWebSecurity
public class SecurityConfig {
private final CustomAuthenticationEntryPoint authenticationEntryPoint;
private final CustomAccessDeniedHandler accessDeniedHandler;
public SecurityConfig(CustomAuthenticationEntryPoint authenticationEntryPoint,
CustomAccessDeniedHandler accessDeniedHandler) {
this.authenticationEntryPoint = authenticationEntryPoint;
this.accessDeniedHandler = accessDeniedHandler;
}
@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
http
.csrf(csrf -> csrf.disable()) // 禁用CSRF，如果不需要
.authorizeHttpRequests(authorize -> authorize
.antMatchers("/public/**").permitAll() // 允许公共访问
.anyRequest().authenticated() // 其他所有请求都需要认证
)
.exceptionHandling(exceptionHandling -> exceptionHandling
.authenticationEntryPoint(authenticationEntryPoint) // 注册未认证处理器
.accessDeniedHandler(accessDeniedHandler) // 注册访问拒绝处理器
);
return http.build();
}
}注意事项
- ObjectMapper的注入: 在实际项目中，ObjectMapper通常会通过依赖注入获得，而不是手动创建，以确保使用统一的序列化配置。
- 错误信息细化: 错误消息可以根据具体业务需求进行细化，例如提供错误码、请求ID等，以便于前端处理和后端日志追踪。
- 与@ControllerAdvice结合: 虽然AuthenticationEntryPoint和AccessDeniedHandler处理的是过滤器链中的异常，但对于控制器层抛出的业务异常，@ControllerAdvice仍然是首选的处理方式。可以考虑在AuthenticationEntryPoint和AccessDeniedHandler中引入一个委托（delegate）机制，将异常重新抛出或封装，使其最终能被@ControllerAdvice捕获，从而实现统一的异常响应格式。例如，可以在处理器内部通过request.setAttribute()将异常信息传递，然后通过一个特殊的@ExceptionHandler来处理。然而，直接在处理器中写入响应体通常更简单直接，尤其当只需要处理Spring Security层面的特定异常时。
总结
通过实现自定义的AuthenticationEntryPoint和AccessDeniedHandler，我们能够有效地控制Spring Security过滤器链中发生的认证和授权异常的响应行为。这使得应用程序能够向客户端提供统一、结构化且易于理解的错误信息，显著提升用户体验和API的可用性。正确配置这些处理器是构建健壮且用户友好的Spring Security应用的关键一步。
