Spring Security不会抛出任何异常

Question

我的Spring安全配置：

<security:http auto-config="true"  use-expressions="true" >
<security:intercept-url pattern="/game/**" access="isAuthenticated()"/>
<security:intercept-url pattern="/**" access="permitAll"/>

<security:form-login password-parameter="password"  username-parameter="username"  login-page="/"
            default-target-url="/game/" login-processing-url="/processLogin" authentication-failure-url="/"/>
<security:logout logout-url="/game/logout" logout-success-url="/" delete-cookies="true" invalidate-session="true"/>
<security:access-denied-handler ref="accessDeniedHandler" />
</security:http>

自定义处理程序：

@Component
public class AccessDeniedHandler extends AccessDeniedHandlerImpl {
@Override
public void handle(HttpServletRequest request,
                   HttpServletResponse response, AccessDeniedException exception)
        throws IOException, ServletException {
    super.handle(request, response, exception);
    }
}

异常解析器：

<bean class="org.springframework.web.servlet.handler.SimpleMappingExceptionResolver">
    <property name="exceptionMappings">
        <props>
            <prop key=".AccessDeniedException">accessDenied</prop>
        </props>
    </property>
</bean>

我的问题是spring security不会抛出任何异常。例如，当我输入一个受保护的url时，它会将我重定向到登录页面。如果我从配置中删除登录页面，它会将我重定向到spring security默认登录表单。因此，我不能处理任何异常，如AccessDeniedException。正如你在上面看到的，我已经定义了自定义的拒绝访问处理程序，它覆盖了handle方法，但是它甚至没有进入handle方法。我也尝试使用SimpleMappingExceptionResolver，但也不起作用。所以我的问题是:如何让spring security抛出异常，以便我可以通过解析器或自定义处理程序来捕捉它们？

Answer 1

我的AccessDeniedHandler不起作用的原因是因为它只适用于经过身份验证的用户，所以为了在未经身份验证的用户尝试仅为经过身份验证的用户访问内容时显示错误页面（这是试图捕获AccessDeniedException的目的），您应该编写自定义切入点，并覆盖默认切入点。

感谢卢克·泰勒（Luke Taylor）向我澄清了这一点。