Spring Security 6登录异常：输入正确凭据仍提示错误求助

1. 密码加密一致性校验 #

注册与认证环节必须使用完全相同的加密算法及编码器实例：

• 检查UserServiceImpl的注册逻辑，确认加密代码是否正确，例如BCrypt的使用：

  // 注册时的正确加密示例
  private final BCryptPasswordEncoder passwordEncoder;
  
  public UserServiceImpl(BCryptPasswordEncoder passwordEncoder) {
      this.passwordEncoder = passwordEncoder;
  }
  
  public User register(User user, String rawPassword) {
      user.setPassword(passwordEncoder.encode(rawPassword));
      return userRepository.save(user);
  }
  

• 检查CustomAuthenticationProvider的密码匹配逻辑，必须用编码器的matches方法而非字符串直接对比：

  // 错误示例：直接对比明文与密文
  if (!dbUser.getPassword().equals(authentication.getCredentials().toString())) {
      throw new BadCredentialsException("用户名或密码错误");
  }
  // 正确示例：用编码器做匹配
  if (!passwordEncoder.matches(authentication.getCredentials().toString(), dbUser.getPassword())) {
      throw new BadCredentialsException("用户名或密码错误");
  }
  

2. CustomAuthenticationProvider 逻辑排查 #

自定义认证提供者容易出现以下漏洞：

• 确认用户查询逻辑是否正确：是否因用户名大小写、空格、数据库查询条件错误导致查不到用户。建议在查询后添加日志，打印查询到的用户信息。
• 检查用户状态处理：若用户实体包含enabled、accountNonExpired等字段，需确保注册时将这些状态设为true，且认证时校验了这些状态。

3. WebSecurityConfig 配置检查 #

• 确认CustomAuthenticationProvider已正确注册到SecurityFilterChain：

  @Bean
  public SecurityFilterChain securityFilterChain(HttpSecurity http, CustomAuthenticationProvider authProvider) throws Exception {
      http.authenticationProvider(authProvider)
          .formLogin(form -> form.loginPage("/login").permitAll());
      return http.build();
  }
  

• 校验登录表单与配置的一致性：
  检查login.html的表单提交路径、请求方法、参数名是否与配置匹配：

  <!-- 表单示例需与配置对应 -->
  <form action="/login" method="POST">
      <input type="text" name="username" />
      <input type="password" name="password" />
      <button type="submit">登录</button>
  </form>
  

  若自定义了参数名，需在配置中声明：

  formLogin(form -> form.loginPage("/login")
      .usernameParameter("userName") // 与表单name属性一致
      .passwordParameter("passWord")
      .permitAll());
  

4. 数据库存储验证 #

直接查看数据库中存储的密码：

• BCrypt加密后的密码应以$2a$或$2b$开头，长度固定为60位左右。若长度不符，说明注册时未正确加密（比如重复加密、直接存入明文）。

5. 日志调试定位 #

开启Spring Security调试日志，在application.yml中添加：

logging:
  level:
    org.springframework.security: DEBUG

通过日志查看认证全流程：是否进入自定义认证提供者、用户查询SQL、密码匹配结果等，这些信息可直接定位问题根源。

内容的提问来源于stack exchange，提问作者Ivan Storozhev