当Spring SecurityContextHolder在GetPrincipal上返回null时，应该引发哪个异常？

Question

然而，系统的规模越来越大，可能会出现一个错误，即未经授权的用户会通过控制器层，试图通过自定义授权服务访问受保护的数据。

一方面，最适合的异常似乎是accessdeniedexception(Http 403)，但另一方面，抛出500或404以“隐藏”所请求资源的存在可能是更安全的方法。

我考虑了以下例外情况：

null

Answer 1

如果您正在使用Spring Security和一个自定义授权服务，那么您可能会有如下内容：

@Component
public class CustomAccessDeniedHandler extends AccessDeniedHandlerImpl {
    private final String HOME_PAGE = "/index.html";

    @Override
    public void handle(HttpServletRequest request, HttpServletResponse response, AccessDeniedException e) throws IOException, ServletException {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();

        if (auth != null) {

            if (auth instanceof AnonymousAuthenticationToken) {
                response.sendRedirect("/#/login");
                super.handle(request, response, e);
                return;
            }

            if (auth.getAuthorities().iterator().next().getAuthority().equals("ROLE_EMPLOYEE") || auth.getAuthorities().iterator().next().getAuthority().equals("ROLE_ADMIN") ) {
                 response.sendRedirect("/dashboard/Dashboard.xhtml");
                 super.handle(request, response, e);
                 return;
            }     
             response.sendRedirect("/#/dashboard/user");        
        }
        super.handle(request, response, e);
    }
}  

在您的情况下，在应用程序中，我宁愿建议重定向到登录屏幕--如上图所示--带有类似请登录的消息。

在API中，我将返回404-Resource not found响应。