Spring Boot Security异常处理失效：未进入AnonymousAuthenticationHandler排查

1. 认证入口点配置失效
   若AnonymousAuthenticationHandler未正确实现AuthenticationEntryPoint接口，或未在HttpSecurity的exceptionHandling()中配置为认证入口点，会导致未认证请求无法触发该处理器。另外，若未禁用Spring Security默认的认证入口点（如HTTP Basic、表单登录），默认逻辑会覆盖自定义配置。

2. Spring Security核心过滤器链未加载
   出现ApplicationFilterConfig而非FilterChainProxy，说明自定义的Security配置未被Spring容器正确识别：

   • 可能是SecConfig未添加@Configuration或@EnableWebSecurity注解，导致Spring Boot默认的Security自动配置未被替换；
   • 若使用@WebFilter注册JwtTokenFilter而非通过SecurityFilterChain的addFilterBefore/After方法添加，过滤器会脱离Spring Security的核心过滤链。

3. JwtTokenFilter拦截逻辑阻断请求流转
   若JwtTokenFilter在处理未认证请求时直接返回响应（如提前输出错误信息），未调用filterChain.doFilter(request, response)，会导致请求无法传递到后续过滤器，自然触发不了认证入口点。

1. 修正认证入口点配置
   确保AnonymousAuthenticationHandler实现AuthenticationEntryPoint接口，并在Security配置中正确绑定：

   @Configuration
   @EnableWebSecurity
   public class SecConfig {
       @Autowired
       private JwtTokenFilter jwtTokenFilter;
       @Autowired
       private AnonymousAuthenticationHandler authEntryPoint;
   
       @Bean
       public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
           http
               // 禁用默认认证方式，避免覆盖自定义入口点
               .formLogin(form -> form.disable())
               .httpBasic(basic -> basic.disable())
               // 绑定自定义认证入口点
               .exceptionHandling(exception -> exception.authenticationEntryPoint(authEntryPoint))
               // 将Jwt过滤器添加到UsernamePasswordAuthenticationFilter之前
               .addFilterBefore(jwtTokenFilter, UsernamePasswordAuthenticationFilter.class)
               // 配置授权规则
               .authorizeHttpRequests(auth -> auth.anyRequest().authenticated());
   
           return http.build();
       }
   }
   

2. 确保核心过滤器链加载

   • 给SecConfig添加@Configuration和@EnableWebSecurity注解，确保Spring容器扫描到并替换默认配置；
   • 移除JwtTokenFilter上的@WebFilter注解，统一通过SecurityFilterChain的addFilterBefore/After方法添加过滤器，保证其处于Spring Security的核心过滤链中。

3. 修正JwtTokenFilter的流转逻辑
   处理未认证请求时，必须调用filterChain.doFilter让请求继续流转：

   public class JwtTokenFilter extends OncePerRequestFilter {
       @Override
       protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
           String token = extractTokenFromRequest(request);
           if (token != null && validateToken(token)) {
               Authentication auth = createAuthentication(token);
               SecurityContextHolder.getContext().setAuthentication(auth);
           }
           // 无论是否认证，都必须执行后续过滤器
           filterChain.doFilter(request, response);
       }
   }
   

1. SecurityContext内存泄漏风险
   JwtTokenFilter中设置的SecurityContext未在请求结束后清理，会污染后续请求线程。建议用try-finally块恢复原有认证信息：

   @Override
   protected void doFilterInternal(...) {
       Authentication originalAuth = SecurityContextHolder.getContext().getAuthentication();
       try {
           // Token处理逻辑
       } finally {
           SecurityContextHolder.getContext().setAuthentication(originalAuth);
       }
       filterChain.doFilter(request, response);
   }
   

2. 命名混淆风险
   AnonymousAuthenticationHandler命名易与Spring自带的AnonymousAuthenticationProvider混淆，建议重命名为CustomAuthenticationEntryPoint，明确其处理未认证请求的作用。

3. 异常处理不规范
   JwtTokenFilter解析Token时的异常（如过期、签名错误）应抛出AuthenticationException子类，而非直接返回响应，这样才能被exceptionHandling的入口点统一处理。

4. 授权规则配置顺序错误
   若先配置authorizeHttpRequests再添加过滤器，可能导致授权逻辑先执行，Jwt过滤器还未处理请求就触发了未认证拦截。需确保过滤器添加在授权规则配置之前。

内容的提问来源于stack exchange，提问作者guapi