Spring Security中ExceptionTranslationFilter失效，如何统一处理AuthenticationException？

现象是否正常？ #

这个现象是正常的。ExceptionTranslationFilter的核心作用是捕获后续过滤器抛出的AuthenticationException并通过AuthenticationEntryPoint统一处理，但它仅能在响应未被提交（response.isCommitted() == false）的情况下生效。如果响应已经被写入内容（比如请求已经被前面的过滤器/控制器处理并返回），Spring Security无法再修改已提交的响应，因此会抛出Unable to handle the Spring Security Exception because the response is already committed提示。

问题根源 #

你的JWTAuthenticationFilter中存在逻辑漏洞：当请求匹配白名单时，调用chain.doFilter(request, response)后没有终止方法执行，导致后续的token校验逻辑继续运行。此时白名单请求已经通过chain.doFilter被后续组件处理，响应可能已经被提交，后续校验抛出的异常就会触发ExceptionTranslationFilter的上述提示。

统一处理AuthenticationException的解决方案 #

1. 修复白名单逻辑的执行终止问题 #

修改JWTAuthenticationFilter的doFilterInternal方法，在白名单匹配的分支中添加return，避免后续代码执行：

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws IOException, ServletException {
    String path = request.getRequestURI();
    AntPathMatcher antPathMatcher = new AntPathMatcher();
    if (whitelist.getWhitelist().stream().anyMatch(s -> antPathMatcher.match(s, path))) {
        chain.doFilter(request, response);
        // 添加return，终止后续逻辑执行
        return;
    }
    // 后续token校验逻辑...
}

2. 确保过滤器顺序正确 #

当前你已经将ExceptionTranslationFilter添加到JWTAuthenticationFilter之前，这个顺序是正确的，它能捕获JWTAuthenticationFilter抛出的所有未被处理的AuthenticationException。

3. 验证AuthenticationEntryPoint的执行 #

修复白名单逻辑后，当token校验抛出AuthenticationException时，ExceptionTranslationFilter会调用你实现的UnauthorizedEntryPoint，返回统一的JSON格式响应。

补充：关于AuthenticationFailureHandler #

AuthenticationFailureHandler主要用于处理AuthenticationManager认证失败的场景（比如用户名密码错误），而你的JWTAuthenticationFilter是直接抛出AuthenticationException，并非通过AuthenticationManager进行认证，因此它不会触发AuthenticationFailureHandler，这也是你之前尝试无效的原因。

内容的提问来源于stack exchange，提问作者Rodrick Zadrozny