当身份验证失败时，将弹簧安全性更改为返回401

Question

在我的Spring Boot（v。2.7.0）应用程序中，我正在使用Spring Security进行身份验证。如果用户尝试使用无效的凭据登录，则服务器使用403（禁止）状态代码响应，但是我希望401 （未经授权）可以使用。

我在配置中找不到任何表明弹簧安全性默认行为的任何东西，但是无论它是否有，我希望在身份验证失败时返回401。

我介入了相关的弹簧安全代码，看来弹簧安全 方法simpleurlauthenticationfailurehandler.onauthenticationfailure在身份验证失败时被调用。该方法包括该行，

response.sendError(HttpStatus.UNAUTHORIZED.value(), HttpStatus.UNAUTHORIZED.getReasonPhrase());

但由于某种原因，403返回了客户端 - 因此，我想在上面的行之后正在更改响应。

当身份验证失败时，如何将弹簧安全性更改为返回401？我在下面包含了我的安全配置以供参考。

@EnableWebSecurity
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true, jsr250Enabled = true)
public class SecurityConfiguration {

    @Autowired
    private AuthenticationConfiguration authenticationConfiguration;

    @Bean
    public SecurityFilterChain configure(HttpSecurity http) throws Exception {
        AuthenticationManager authenticationManager = authenticationConfiguration.getAuthenticationManager();
        var jwtAuthenticationFilter = new JwtAuthenticationFilter(authenticationManager);

        var jwtAuthorisationFilter = new JwtAuthorisationFilter();

        http.cors().and().csrf().disable().authorizeRequests()
            .anyRequest().authenticated().and()
            .addFilter(jwtAuthenticationFilter)
            .addFilterAfter(jwtAuthorisationFilter, BasicAuthenticationFilter.class)
            .sessionManagement()
            .sessionCreationPolicy(SessionCreationPolicy.STATELESS);

        return http.build();
    }
}

jwtauthenticationFilter调用authenticationManager.authenticate，它会导致org.springframework.security.authentication.badcredentialsexception.badcredentialsexception如果凭证为Invaliends Invalid。

更新

我尝试添加自定义AuthenticationFailureHandler bean a>，但是我的自定义bean从未被调用（默认的bean simpleurlauthenticationfailurehandler被调用）。

Answer 1

您可以提供自己的自定义AccessDeniedHandler实现。

@Bean
public SecurityFilterChain configure(HttpSecurity http) throws Exception {
    AuthenticationManager authenticationManager = authenticationConfiguration.getAuthenticationManager();
    var jwtAuthenticationFilter = new JwtAuthenticationFilter(authenticationManager);

    var jwtAuthorisationFilter = new JwtAuthorisationFilter();

    http.cors().and().csrf().disable().authorizeRequests()
        .anyRequest().authenticated().and()
        .addFilter(jwtAuthenticationFilter)
        .addFilterAfter(jwtAuthorisationFilter, BasicAuthenticationFilter.class)
        .sessionManagement()
        .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        .and()
        .exceptionHandling()
        .accessDeniedHandler( (request, response, exception) ->
             response.sendError(HttpStatus.UNAUTHORIZED.value(), exception.getMessage()
        ));

    return http.build();
}