Spring Security如何判断是重定向到表单登录还是返回401未授权响应？

这个问题问得很到位！其实Spring Security的这个差异化处理核心是通过请求的Accept请求头来识别客户端是否能处理HTML响应，进而选择不同的未认证处理逻辑，我给你一步步拆解：

核心判断逻辑 #

Spring Security默认配置下，当遇到未认证的请求时，会由ExceptionTranslationFilter根据请求的特性选择对应的AuthenticationEntryPoint（认证入口点）：

• 如果请求的Accept头包含text/html（这是浏览器发送请求时的典型特征，浏览器通常会优先接受HTML内容），就会使用LoginUrlAuthenticationEntryPoint，它会返回302 Found重定向到默认的登录页面（/login）。
• 如果请求不优先接受HTML（比如像curl这类工具默认发送的Accept: */*，或者API客户端只指定application/json这类非HTML媒体类型），则会使用BasicAuthenticationEntryPoint，返回401 Unauthorized响应，并带上WWW-Authenticate: Basic realm="Realm"头，触发Basic身份验证流程。

验证你的测试场景 #

你可以通过模拟浏览器的Accept头来验证这个逻辑：

curl -v -H "Accept: text/html" localhost:8080

执行这个命令后，你会看到返回的是302 Found重定向到/login，和浏览器访问的结果一致。

而你原来用curl -v localhost:8080时，请求头里的Accept: */*并没有明确优先接受HTML，所以Spring Security判定这是一个非浏览器客户端，返回401+Basic Auth挑战。

补充说明 #

这种默认行为是Spring Security为了兼顾浏览器端用户体验和API客户端的标准化响应而设计的：浏览器用户需要看到直观的登录页面，而API客户端更期望得到符合HTTP规范的401未授权响应，而不是无意义的重定向。

备注：内容来源于stack exchange，提问作者skagedal