Spring Security：在身份验证错误时返回formLogin

Question

如果我提供了正确的凭据，它将响应正常的答案。
如果我没有提供凭据，它将响应401未经授权-完美！
如果我提供了错误的凭据，它将响应302找到，位置为/login

最后一部分是我不想要的--我也想要一个401未经授权的错误凭据。

HTTP http://localhost:8081/rest/
http/1.1 401www-authenticate:Basic realm=“我的领域”





http-a正确：密码http://localhost:8081/rest/some/api/
http/1.1200在www.authenticate:Basic realm=“My Realm”中

@Configuration
@Order(1)
public static class RestSecurityConfig extends WebSecurityConfigurerAdapter {
  @Autowired
  private AuthorizationProperties properties;

  @Override protected void configure(HttpSecurity http) throws Exception {
    // @formatter:off
    http.antMatcher("/rest/**")
      .authorizeRequests()
        .anyRequest().hasRole("API").and()
      .httpBasic()
        .realmName(properties.getRealm()).and()
      .formLogin().disable()
      .csrf().disable();
    // @formatter:on
  }
}

@Configuration
@Order(2)
public static class FrontendSecurityConfig extends WebSecurityConfigurerAdapter {
  @Override public void configure(WebSecurity web) throws Exception {
    web.ignoring().antMatchers("/app/**", "/webjars/**", "/static/**", "/js/**");
  }

  @Override protected void configure(HttpSecurity http) throws Exception {
    // @formatter:off
    http
      .authorizeRequests()
        .anyRequest().hasAnyRole("USER").and()
      .formLogin();
    // @formatter:on
  }
}




Answer 1

我能给这件事带来一些曙光。

在基本auth请求失败后重定向到表单登录是由于dispatcher servlet在验证凭据失败后试图重定向到URL/error造成的。

要获得适当的错误响应，需要将/error添加到web安全配置中忽略的antmatchers中。