Webflux安全登录失败处理程序不工作

Question

我正在尝试设置与spring webflux安全自定义字符串消息，如果登录/注销成功或失败。除“AuthenticationFailureHandler”外，处理程序都在工作。

文档中提到了一些关于“logoutsuccessURL（）”的内容，但它并不存在，并且这些处理程序返回的是mono 。

所以我有两个问题：

>

如何返回一些字符串作为响应，例如，如果authenticaion失败，那么“无效用户名或密码”或一些json字符串。我试着重定向到一个动作，但是我不能用虚空单声道来做。

为什么authenticationFailureHandler不起作用，而其他处理程序都起作用？那是窃听器吗？

-我尝试用mono.just（“redirect：/some-url”）.then（）重定向，但它什么也没做。对于答复

• 我使处理程序成为bean，尝试更改方法序列，禁用/启用其他处理程序。对于AuthenticationFailureHandler。

您可以在这里找到我的整个代码:https://github.com/iron2414/webfluxauth

这是本文代码的修改版本:https://medium.com/@mgray_94552/reactive-authorisation-in-spring-security-943e6534aaeb

安全配置如下所示：

 return http
                .exceptionHandling()
                .accessDeniedHandler((swe, e) -> {
                    System.out.println("ACCESS DENIED");
                    return Mono.fromRunnable(() -> {
                        swe.getResponse().setStatusCode(HttpStatus.FORBIDDEN);
                    });
                })
                .authenticationEntryPoint((swe, e) -> {
                    System.out.println("AUTHENTICATION ENTRTY POINT");
                    ServerHttpResponse response = swe.getResponse();
                    return Mono.fromRunnable(() -> {
                        swe.getResponse().setStatusCode(HttpStatus.FORBIDDEN);
                    });
                })
                .and()
                .authorizeExchange()
                .pathMatchers("/**").authenticated()
                .and()
                .formLogin()
                .authenticationFailureHandler(MyAuthenticationFailureHandler()) 

    .authenticationSuccessHandler(MyAuthenticationSuccessHandler()).and()
                .logout().logoutSuccessHandler(MyLogoutHandler())
                .and()
                .csrf()
                .disable()
                .build();

loginFailure处理程序：

    @Bean
    public MyAuthenticationFailureHandler MyAuthenticationFailureHandler() {
        return new MyAuthenticationFailureHandler();
    }

@Component
public class MyAuthenticationFailureHandler implements ServerAuthenticationFailureHandler {

    @Override
    public Mono<Void> onAuthenticationFailure(WebFilterExchange webFilterExchange, AuthenticationException e) {
        //TODO redirect
        System.out.println("AUTHENTICATION FAILURE");
        return Mono.empty();
    }
}

Answer 1

我遇到了同样的问题，最后使用了一个自定义的DefaultErrorWebExceptionHandler来处理它：

@Component
public class MyGlobalWebExceptionHandler extends DefaultErrorWebExceptionHandler {

    @Override
    protected RouterFunction<ServerResponse> getRoutingFunction(ErrorAttributes errorAttributes) {
        return route(all(), this::renderErrorResponse);
    }

    @Override
    protected Mono<ServerResponse> renderErrorResponse(ServerRequest request) {
        ErrorRepresentation representation = createErrorRepresentation(request);
        return ServerResponse
                .status(representation.getError().getStatus())
                .contentType(APPLICATION_JSON_UTF8)
                .body(BodyInserters.fromObject(representation));
    }

    private ErrorRepresentation createErrorRepresentation(ServerRequest request) {
        boolean includeStackTrace = isIncludeStackTrace(request, MediaType.ALL);
        Map<String, Object> error = getErrorAttributes(request, includeStackTrace);
        Throwable throwable = getError(request);


        if (throwable instanceof AuthenticationException) {
            AuthenticationFailureException failureException = new AuthenticationFailureException(throwable.getMessage());
            return new ErrorRepresentation(failureException, error.get("path").toString());
        }

    }
}

Answer 2

对于响应，我必须使用“RedirectServerAuthenticationSuccessHandler”来验证成功。我创建了实现失败的完全相同的类。

身份验证失败处理程序不工作是一个已知问题。为了使其工作，您必须设置登录页。所以我只是将其更新为默认的“/login”