Spring Boot自定义认证loadUserByUsername未触发，登录重定向异常

核心问题定位 #

你的自定义CustomUserDetailsService的loadUserByUsername方法未生成日志，说明这个方法根本没被Spring Security调用——这是登录失败的核心原因，Spring Security大概率在用默认的用户认证逻辑，而非你自定义的实现。

逐步排查方向 #

1. 确认CustomUserDetailsService被Spring容器管理

   • 检查类上是否加了@Service或@Component注解，没有的话Spring无法扫描并实例化这个类。
   • 检查类的包路径是否在Spring Boot的默认扫描范围内（主应用类所在包及其子包），如果不在，需要在主应用类上添加@ComponentScan(basePackages = "你的自定义类包路径")。

2. 检查Security配置是否关联了CustomUserDetailsService

   • 在SecurityFilterChain的配置中，必须显式指定使用你的自定义实现，否则Spring Security会用默认的InMemoryUserDetailsManager。示例代码：

     @Bean
     public SecurityFilterChain securityFilterChain(HttpSecurity http, CustomUserDetailsService userDetailsService) throws Exception {
         http
             .authorizeHttpRequests(auth -> auth
                 .requestMatchers("/login").permitAll()
                 .anyRequest().authenticated()
             )
             .formLogin(form -> form
                 .loginPage("/login")
                 .defaultSuccessUrl("/home", true) // 强制跳转首页，避免来源页重定向冲突
             )
             .userDetailsService(userDetailsService); // 关键：绑定自定义的UserDetailsService
         return http.build();
     }
     

   • 若用旧版本AuthenticationManagerBuilder配置，也要确保调用userDetailsService(customUserDetailsService)。

3. 验证登录表单参数名是否匹配

   • Spring Security默认期望用户名参数名为username，密码参数名为password。如果登录页表单input的name属性是自定义值（比如user_name），会导致Spring Security无法获取正确认证信息，直接判定登录失败，且不会调用loadUserByUsername。
   • 修正表单示例：

     <form method="post" action="/login">
         <input type="text" name="username" placeholder="用户名">
         <input type="password" name="password" placeholder="密码">
         <button type="submit">登录</button>
     </form>
     

   • 若必须用自定义参数名，需在Security配置中指定：

     .formLogin(form -> form
         .usernameParameter("user_name")
         .passwordParameter("pass_word")
     )
     

4. 检查密码编码配置

   • 即使用户名正确，密码编码不匹配也会导致登录失败。需要确保：
     • 配置PasswordEncoder Bean：

       @Bean
       public PasswordEncoder passwordEncoder() {
           return new BCryptPasswordEncoder();
       }
       

     • 在Security配置中关联编码器：http.passwordEncoder(passwordEncoder());
     • CustomUserDetailsService返回的User对象密码，与数据库存储的加密密码一致（比如数据库存BCrypt加密后的字符串，而非明文）。

5. 调整日志级别，确认方法是否执行

   • 若上述配置都正确但仍无日志，检查日志级别是否足够。在application.yml中添加：

     logging:
       level:
         com.yourpackage.security.CustomUserDetailsService: DEBUG
     

   • 确保日志框架（如Logback）配置正确，能输出DEBUG级别的日志。

6. 验证角色权限配置

   • 若登录后仍被重定向，检查首页是否需要特定角色权限。比如Security配置中设置了.anyRequest().hasRole("ADMIN")，但CustomUserDetailsService返回的User对象未包含ROLE_ADMIN权限（Spring Security角色默认需要ROLE_前缀，除非配置rolePrefix("")）。
   • 示例权限设置：

     List<GrantedAuthority> authorities = Collections.singletonList(new SimpleGrantedAuthority("ROLE_ADMIN"));
     return new User(user.getUsername(), user.getPassword(), authorities);
     

内容的提问来源于stack exchange，提问作者rahul soni