如何修改Spring默认逻辑在登录页展示自定义认证错误？

一、解决自定义认证异常无法展示的问题 #

Spring Security确实会把loadUserByUsername中抛出的异常包装为InternalAuthenticationServiceException，默认认证失败逻辑只会携带error参数跳转到登录页。要展示具体错误信息，可通过自定义认证失败处理器提取原始异常：

1. 自定义认证失败处理器

@Component
public class CustomAuthFailureHandler implements AuthenticationFailureHandler {

    @Override
    public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException {
        String errorMessage = "登录失败，请检查账号或密码";
        // 拆解包装的异常，获取原始自定义异常信息
        if (exception instanceof InternalAuthenticationServiceException) {
            Throwable cause = exception.getCause();
            if (cause instanceof AccountNotActivatedException) {
                errorMessage = cause.getMessage();
            } else if (cause instanceof UsernameNotFoundException) {
                errorMessage = cause.getMessage();
            }
        }
        // 将错误信息存入请求域，转发回登录页
        request.setAttribute("loginError", errorMessage);
        request.getRequestDispatcher("/login").forward(request, response);
    }
}

2. 在Security配置中绑定处理器
   修改你的filterChain方法，为表单登录配置自定义失败处理器：

@Autowired
private CustomAuthFailureHandler customAuthFailureHandler;

public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
   http
           .anonymous(AbstractHttpConfigurer::disable)
           .authorizeHttpRequests(authorize -> authorize
                   .requestMatchers(PathRequest
                           .toStaticResources()
                           .atCommonLocations())
                   .permitAll()
                   .requestMatchers("/book/{bookId}/testResults")
                   .authenticated()
                   .anyRequest().permitAll())
           .formLogin(login ->login
                   .loginPage("/login")
                   .defaultSuccessUrl("/")
                   .failureHandler(customAuthFailureHandler) // 绑定自定义处理器
                   .permitAll())
           .logout(logout ->logout
                   .logoutUrl("/logout")
                   .logoutSuccessUrl("/login")
                   .invalidateHttpSession(true)
                   .deleteCookies("JSESSIONID")
                   .permitAll());
   return http.build();
}

3. 在登录页展示错误信息
   以Thymeleaf模板为例，直接从请求域中取出错误信息渲染：

<div th:if="${loginError}" class="alert alert-danger">
    <span th:text="${loginError}"></span>
</div>

二、关于密码校验的疑问 #

Spring Security会自动完成密码校验，不需要手动编写POST请求的控制器：

• 配置formLogin后，Spring Security会自动拦截/login的POST请求，提取表单中的username和password参数。
• 它会调用你实现的UserDetailsService获取用户信息，再通过容器中配置的PasswordEncoder对比提交的明文密码与数据库中存储的加密密码。
• 注意：必须在容器中配置PasswordEncoder，否则会抛出异常，示例配置：

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

整个认证流程由Spring Security自动处理，你只需保证UserDetails返回的密码是加密后的字符串即可。

内容的提问来源于stack exchange，提问作者Anton Bondar