将Spring Security更改为在身份验证失败时返回401

Question

在我的Spring Boot（v.2.7.0）应用程序中，我使用Spring Security进行身份验证。如果用户尝试使用无效凭据登录，服务器会以403（禁止）状态代码响应，但我希望使用401（未授权）。

我在配置中找不到任何指示Spring Security性的默认行为已被覆盖的内容，但无论是否被覆盖，我都希望在身份验证失败时返回401。

我浏览了相关的Spring Security代码，它显示了Spring Security方法SimpleRuthenticationFailureHandler。当身份验证失败时，调用onAuthenticationFailure。此方法包括行

response.sendError(HttpStatus.UNAUTHORIZED.value(), HttpStatus.UNAUTHORIZED.getReasonPhrase());

但是由于某种原因，403被返回给了客户机-所以我猜响应是在上面这一行之后被更改的。

如何在身份验证失败时将Spring Security更改为返回401？我在下面包含了我的安全配置以供参考。

@EnableWebSecurity
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true, jsr250Enabled = true)
public class SecurityConfiguration {

    @Autowired
    private AuthenticationConfiguration authenticationConfiguration;

    @Bean
    public SecurityFilterChain configure(HttpSecurity http) throws Exception {
        AuthenticationManager authenticationManager = authenticationConfiguration.getAuthenticationManager();
        var jwtAuthenticationFilter = new JwtAuthenticationFilter(authenticationManager);

        var jwtAuthorisationFilter = new JwtAuthorisationFilter();

        http.cors().and().csrf().disable().authorizeRequests()
            .anyRequest().authenticated().and()
            .addFilter(jwtAuthenticationFilter)
            .addFilterAfter(jwtAuthorisationFilter, BasicAuthenticationFilter.class)
            .sessionManagement()
            .sessionCreationPolicy(SessionCreationPolicy.STATELESS);

        return http.build();
    }
}

JwtAuthenticationFilter调用authenticationManager。进行身份验证，从而导致组织。springframework。安全身份验证。如果凭据无效，将引发BadCredentialsException。

我尝试添加本文中描述的自定义AuthenticationFailureHandlerbean，但我的自定义bean从未被调用（而是调用默认beanSimpleUrlAuthenticationFailureHandler）。

Answer 1

您可以提供自己的自定义AccessDeniedHandler实现。

@Bean
public SecurityFilterChain configure(HttpSecurity http) throws Exception {
    AuthenticationManager authenticationManager = authenticationConfiguration.getAuthenticationManager();
    var jwtAuthenticationFilter = new JwtAuthenticationFilter(authenticationManager);

    var jwtAuthorisationFilter = new JwtAuthorisationFilter();

    http.cors().and().csrf().disable().authorizeRequests()
        .anyRequest().authenticated().and()
        .addFilter(jwtAuthenticationFilter)
        .addFilterAfter(jwtAuthorisationFilter, BasicAuthenticationFilter.class)
        .sessionManagement()
        .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        .and()
        .exceptionHandling()
        .accessDeniedHandler( (request, response, exception) ->
             response.sendError(HttpStatus.UNAUTHORIZED.value(), exception.getMessage()
        ));

    return http.build();
}