Spring Security JWT认证接口无响应体问题求助

问题描述 #

在Java 17 + Spring 3.x环境搭建的JWT认证项目中，无需认证的/api/auth/**接口运行正常，但所有需要认证的API接口返回响应体为空。

核心问题定位 #

问题集中在JwtAuthenticationFilter的逻辑实现，存在两个关键错误：

1. 认证条件判断逻辑完全写反 #

原代码中的判断条件：

if(username==null && SecurityContextHolder.getContext().getAuthentication() == null)

这里的username==null逻辑错误——只有从token中提取到非空的username，且当前SecurityContext无认证信息时，才需要执行认证逻辑。该错误导致认证逻辑永远不会触发，请求因未通过认证被拦截，但未返回具体错误响应，最终返回空体。

2. 未继续执行过滤器链 #

处理完认证逻辑后，没有调用filterChain.doFilter(request, response);，导致请求无法传递到后续控制器层，直接终止在过滤器中，自然没有响应体返回。

修复后的JwtAuthenticationFilter代码 #

@Component
public class JwtAuthenticationFilter extends OncePerRequestFilter{

    private final JwtService jwtService;
    private final UserDetailsService userDetailsService;
    
    public JwtAuthenticationFilter(JwtService jwtService, 
                                    UserDetailsService userDetailsService) {
        this.jwtService = jwtService;
        this.userDetailsService = userDetailsService;
    }

    @Override
    protected void doFilterInternal(@NonNull HttpServletRequest request, 
                                    @NonNull HttpServletResponse response, 
                                    @NonNull FilterChain filterChain)
                                                throws ServletException, IOException {
        final String authHeader = request.getHeader("Authorization");
        final String jwt;
        final String username;
        if(authHeader==null || !authHeader.startsWith("Bearer ")) {
            filterChain.doFilter(request, response);
            return;
        }
        jwt = authHeader.substring(7);
        username = jwtService.extractUsername(jwt);
        // 修正条件：username不为空且当前无认证信息时执行认证
        if(username != null && SecurityContextHolder.getContext().getAuthentication() == null) {
            UserDetails userDetails = this.userDetailsService.loadUserByUsername(username);
            if(jwtService.isTokenValid(jwt, userDetails)) {
                UsernamePasswordAuthenticationToken authenticationToken = new UsernamePasswordAuthenticationToken(
                        userDetails, 
                        null, 
                        userDetails.getAuthorities());
                authenticationToken.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));
                SecurityContextHolder.getContext().setAuthentication(authenticationToken);
            }
        }
        // 必须调用此方法，让请求继续向下执行
        filterChain.doFilter(request, response);
    }

}

额外优化建议 #

• 添加JWT解析异常处理：JWT解析失败（无效签名、过期、格式错误）会抛出异常，建议在过滤器中捕获这些异常，返回标准化的401 Unauthorized错误响应，避免返回空体。
• 验证配置参数：确保application.properties中jwt.secretkey是Base64编码的有效密钥，jwt.expiration配置合理的过期时间。

内容的提问来源于stack exchange，提问作者Zee Korja