Spring Boot Security标准MFA示例运行异常求助

问题核心 #

运行官方MFA示例（路径：servlet/spring-boot/java/authentication/username-password/mfa）时，processSecondFactor()方法中MfaAuthentication对象为空，调用getPrincipal()触发NullPointerException，测试用例和实际登录流程均受影响。

排查与解决步骤 #

1. 恢复官方版本依赖配置 #

你硬编码了Spring Boot和依赖管理插件版本，可能导致组件版本不兼容，破坏会话中认证对象的存储逻辑。建议恢复官方示例的版本管理方式：

• 将build.gradle中修改的部分还原为：

alias(libs.plugins.org.springframework.boot)
alias(libs.plugins.io.spring.dependency.management)

• 确保项目根目录的gradle/libs.versions.toml文件存在且未被修改，该文件由官方示例提供，保证所有依赖版本匹配。

2. 验证MFA中间认证对象的存储逻辑 #

官方示例中，用户名密码验证通过后，MfaAuthenticationProvider会生成MfaAuthentication实例（状态为未完全认证），并由Spring Security存入会话。需确认这一步是否正常执行：

• 在MfaAuthenticationProvider的authenticate方法中添加日志：

if (requiresMfa(user)) {
    MfaAuthentication mfaAuth = new MfaAuthentication(user.getUsername(), null, user.getAuthorities());
    System.out.println("生成MFA中间认证对象：" + mfaAuth);
    return mfaAuth;
}

• 运行测试或登录流程，查看日志是否输出该对象，确认其不为空且包含正确的principal。

3. 检查/second-factor请求的会话上下文 #

processSecondFactor()依赖会话中存储的MfaAuthentication对象，需确保请求携带正确的会话：

• 测试类中：确认测试用例先执行用户名密码登录请求，获取会话Cookie后，再携带该Cookie请求/second-factor。例如：

// 先执行用户名密码登录，获取会话
MvcResult loginResult = mockMvc.perform(post("/login")
        .param("username", "user@example.com")
        .param("password", "password"))
        .andReturn();
String sessionId = loginResult.getResponse().getCookie("JSESSIONID").getValue();

// 携带会话请求/second-factor
mockMvc.perform(post("/second-factor")
        .param("code", "123456")
        .cookie(new Cookie("JSESSIONID", sessionId)))
        .andExpect(status().isOk());

• 实际运行时：检查浏览器控制台，确认登录后跳转到MFA页面时，JSESSIONID Cookie是否保持一致，避免会话丢失。

4. 核对MfaAuthenticationFilter的配置 #

该过滤器负责处理/second-factor请求，需确保其正确从会话中提取认证对象：

• 查看SecurityFilterChain配置，确认MfaAuthenticationFilter的添加顺序在UsernamePasswordAuthenticationFilter之后，且拦截路径为/second-factor。
• 在过滤器的doFilter方法中，打印SecurityContextHolder.getContext().getAuthentication()和会话属性，确认是否能获取到之前的MfaAuthentication对象。

5. 调试定位空指针根源 #

在processSecondFactor()方法开头添加调试代码：

Authentication auth = SecurityContextHolder.getContext().getAuthentication();
System.out.println("当前认证对象：" + auth);
System.out.println("会话中的认证相关属性：" + request.getSession().getAttributeNames());

• 若auth为空，说明会话中未存储中间认证对象，需回到步骤2检查MfaAuthenticationProvider的逻辑；
• 若auth存在但不是MfaAuthentication类型，说明认证流程出现偏差，需检查过滤器链的执行顺序。

内容的提问来源于stack exchange，提问作者Jan