如何自定义@preauthorize（“isauthenticated（）”）返回的http状态？

Question

在Spring Boot控制器中，我使用@preauthorize（“isauthenticated（）”）检查用户是否登录（使用基本auth+jsessionid)。
但是如果用户没有登录，即他们没有经过身份验证，控制器返回403禁止。
根据我对身份验证与授权的了解，401用于身份验证，而403用于授权。

根据我的理解，@preauthorize()总是检查用户的授权（顾名思义），但是有什么方法可以根据我们传递给它的参数自定义它，即isauthenticated()？

我知道还有另一种解决方案：在configure(HttpSecurity，HttpSecurity)中使用基于URL的安全配置，但如果我不想这样做，该怎么办。

有什么想法请。

Answer 1

当您用@pre/postauthorize注释方法A时，spring将为这样的对象创建代理，对这样的方法的每次调用都将通过代理（如果对象在spring上下文中）。

@pre/postauthorize的代理将从注释中计算表达式（这里很复杂），如果是真的，则传递请求父（到real方法），如果不是，则抛出AccessDaniedException。您也可以在方法A中自己抛出这样的异常，效果也是一样的。这一切都是关于@pre/postauthorize是如何工作的，这里不再有魔力了！

但这还不是故事的结尾！

如果没有，那么ExceptionTranslationFilter将委托给AuthenticationEntryPoint，它将处理这种情况（重定向到登录页面，询问http basic...，等等）。

注意:ExceptionTranslationFilter将重新抛出exception，如果有AuthenticationException或AccessDeniedException以外的异常，可能会显示500：（

您的问题可能是另一个问题看看Spring Security anonymous 401而不是403

    @GetMapping(value = "/test/ok")
    public String getOk() {
        try {
            myService.securedMethod();
            return "ok";
        } catch (Exception e) {
            log.info("AccessDeniedException suppressed not rethrowing :(", e);
            return "error";
        }
    }

正确重译：）：

    @GetMapping(value = "/test/ok")
    public String getOk() {
        try {
            myService.securedMethod();
            return "ok";
        } catch (AccessDeniedException e) {
            throw new MyException(e); //public MyException(Throwable cause)
        }
    }