Spring Security中@PreAuthorize触发权限拒绝却返回500错误排查

核心问题拆解 #

1. 全局异常处理器拦截导致500错误
   Spring MVC的全局异常处理器（比如@RestControllerAdvice下的@ExceptionHandler）优先级高于Spring Security的AccessDeniedHandler。当@PreAuthorize抛出AccessDeniedException时，全局处理器先捕获异常并返回500，根本没机会走到自定义的AccessDeniedHandler。

2. 禁用全局处理器后触发AuthenticationEntryPoint的原因
   AuthenticationEntryPoint负责处理未认证请求（比如用户未登录、token无效/过期），而AccessDeniedHandler仅处理已认证但权限不足的请求。如果此时触发了前者，说明你的请求根本没通过认证环节，Spring Security判定用户处于未认证状态，自然不会触发权限拒绝处理器。

3. 关于AuthorizationDeniedException
   不用替换这个异常类型。Spring Security中@PreAuthorize权限校验失败时，抛出的是AccessDeniedException（或其子类MethodSecurityAccessDeniedException），AuthorizationDeniedException并非Spring Security的标准异常，大概率是你混淆了其他框架的异常类型。

解决方案 #

方案1：调整全局异常处理器，放行AccessDeniedException #

让全局异常处理器不处理AccessDeniedException，将其交给Spring Security的AccessDeniedHandler处理：

@RestControllerAdvice
public class GlobalExceptionHandler {

    @ExceptionHandler(Exception.class)
    public ResponseEntity<String> handleGeneralException(Exception ex) {
        // 如果是权限拒绝异常，直接抛出，交给Spring Security处理
        if (ex instanceof AccessDeniedException) {
            throw (AccessDeniedException) ex;
        }
        // 处理其他异常返回500
        return ResponseEntity.status(HttpStatus.INTERNAL_SERVER_ERROR).body("服务器内部错误");
    }
}

方案2：确保请求已通过认证 #

检查请求是否携带有效的认证信息（比如JWT token、Session），并且Spring Security的认证过滤器（如JwtAuthenticationFilter）已正确处理认证逻辑。只有用户成功认证后，访问@PreAuthorize注解的接口才会触发AccessDeniedHandler，否则会直接走到AuthenticationEntryPoint。

方案3：明确配置Spring Security的异常处理 #

在SecurityFilterChain中显式指定accessDeniedHandler，确保Spring Security的异常处理逻辑生效：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            .anyRequest().authenticated()
        )
        .exceptionHandling(exConfig -> exConfig
            .accessDeniedHandler(customAccessDeniedHandler()) // 你的自定义权限拒绝处理器
            .authenticationEntryPoint(customAuthenticationEntryPoint()) // 你的未认证处理器
        );
    return http.build();
}

额外排查点 #

• 检查@PreAuthorize的表达式是否正确，比如是否混淆了hasRole("ADMIN")和hasAuthority("ROLE_ADMIN")的写法。
• 确认用户的认证信息中是否包含所需的权限，避免因权限不存在导致的异常被误判。

内容的提问来源于stack exchange，提问作者Sachin