Spring Security自定义登录认证失败求助（附代码与报错）

1. SecurityContextHolder 无需手动实现 #

SecurityContextHolder是Spring Security内置的安全上下文管理工具，默认已通过过滤器链自动维护，不用在Security配置里重写它的实现。你需要做的是在自定义登录逻辑认证成功后，手动将认证信息存入上下文，示例代码：

// 假设已通过CustomUserDetailsService获取到合法的UserDetails
Authentication authentication = new UsernamePasswordAuthenticationToken(
    userDetails, 
    null, 
    userDetails.getAuthorities()
);
// 将认证信息存入上下文
SecurityContextHolder.getContext().setAuthentication(authentication);
// Web环境下建议同时保存到请求会话，确保后续请求能获取认证信息
SecurityContextRepository repository = new HttpSessionSecurityContextRepository();
repository.saveContext(SecurityContextHolder.getContext(), request, response);

2. Access Denied 错误排查要点 #

• 检查CustomUserDetails的getAuthorities()方法：必须返回非空的权限集合，比如List.of(new SimpleGrantedAuthority("ROLE_USER"))，空权限会直接导致访问被拒绝。
• 核对SecurityConfig的权限规则：确保登录接口允许匿名访问，其他接口配置正确的认证要求，示例：

  @Bean
  public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
      http
          .formLogin(form -> form.disable()) // 禁用默认表单登录
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/login").permitAll() // 登录接口开放匿名访问
              .anyRequest().authenticated() // 其余接口需认证
          );
      return http.build();
  }
  

• 解析报错日志：重点看被拒绝的URL、当前认证对象是否为空、权限是否匹配，这是快速定位问题的核心依据。

3. Spring 6.1+ 自定义登录点标准配置步骤 #

Spring 6.1+的自定义登录逻辑和低版本核心一致，配置更简洁，步骤如下：

1. 禁用默认表单登录：在SecurityFilterChain中关闭formLogin()
2. 编写自定义LoginController：接收用户名密码参数，调用CustomUserDetailsService查询用户，用PasswordEncoder校验密码（禁止手动校验密码）
3. 认证成功注入SecurityContext：参考第1部分的代码，将合法认证信息存入上下文
4. 配置匿名访问规则：确保登录接口无需认证即可访问
5. 强制使用PasswordEncoder：在SecurityConfig中注入PasswordEncoder Bean，数据库存储加密后的密码，登录时用passwordEncoder.matches(rawPassword, encodedPassword)校验

关键代码补充 #

登录Controller核心逻辑 #

@Autowired
private CustomUserDetailsService userDetailsService;
@Autowired
private PasswordEncoder passwordEncoder;

@PostMapping("/login")
public ResponseEntity<?> login(@RequestBody LoginRequest request, 
                               HttpServletRequest httpRequest, 
                               HttpServletResponse httpResponse) {
    // 查询用户信息
    UserDetails userDetails = userDetailsService.loadUserByUsername(request.getUsername());
    // 校验密码
    if (!passwordEncoder.matches(request.getPassword(), userDetails.getPassword())) {
        return ResponseEntity.badRequest().body("密码错误");
    }
    // 注入认证上下文
    Authentication auth = new UsernamePasswordAuthenticationToken(userDetails, null, userDetails.getAuthorities());
    SecurityContextHolder.getContext().setAuthentication(auth);
    // 保存到会话
    new HttpSessionSecurityContextRepository().saveContext(SecurityContextHolder.getContext(), httpRequest, httpResponse);
    return ResponseEntity.ok("登录成功");
}

Spring 6.1+ SecurityConfig完整配置 #

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Autowired
    private CustomUserDetailsService userDetailsService;

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .csrf(csrf -> csrf.disable()) // 前后端分离场景可关闭CSRF，否则需配置令牌
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/login", "/register").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(form -> form.disable()) // 禁用默认表单登录
            .logout(logout -> logout
                .logoutUrl("/logout")
                .logoutSuccessHandler((request, response, authentication) -> {
                    SecurityContextHolder.clearContext();
                    response.setStatus(HttpServletResponse.SC_OK);
                })
            );
        return http.build();
    }
}

内容的提问来源于stack exchange，提问作者BengalTiger