Spring Boot中CustomAuthenticationFailureHandler无法添加error参数到登录页

问题原因 #

从提供的Spring Security日志可以明确定位问题：

• 自定义failure handler已正确生成带error参数的跳转URL /login?error=cause2，但该请求被Spring Security的权限拦截器拒绝：Failed to authorize filter invocation [GET /login?error=cause2] with attributes [hasRole('ROLE_USER')]
• 此时用户处于匿名状态（日志中AnonymousAuthenticationFilter已设置匿名安全上下文），而系统要求访问/login?error=cause2需要ROLE_USER角色，因此被重定向回无参数的/login
• 虽然配置中给/login设置了permitAll()，但Spring Security的请求匹配默认是精确匹配路径，带参数的/login?xxx可能未被纳入permitAll的规则范围。

解决方案 #

针对这个问题，有两种直接有效的解决方式：

方式1：调整安全配置，确保所有/login路径（含参数）允许匿名访问 #

修改filterChainApp3中的权限配置，明确让所有匹配/login的请求（不管是否带参数）都允许匿名访问：

public SecurityFilterChain filterChainApp3(HttpSecurity http) throws Exception {
    http.authenticationProvider(myAuthenticationProvider());
    http.cors().and().csrf().disable()
        // 先添加/login的全局权限规则，确保覆盖所有情况
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/login**").permitAll() // 用**匹配/login及所有带参数的子请求
            .anyRequest().authenticated()
        )
        .formLogin()
            .loginPage("/login")
            .permitAll()
            .failureHandler(customFailure)
            .successHandler(myAuthenticationSuccessHandler())
        .and().logout().permitAll();
    return http.build();
}

这里的requestMatchers("/login**")会匹配所有以/login开头的请求（比如/login?error=cause1、/login?xxx等），确保匿名用户可以访问。

方式2：在自定义FailureHandler中手动执行重定向，绕过默认的requestCache逻辑 #

修改CustomAuthenticationFailureHandler，不依赖父类的setDefaultFailureUrl和onAuthenticationFailure，直接手动发送重定向响应：

@Component
public class CustomAuthenticationFailureHandler extends SimpleUrlAuthenticationFailureHandler {

    Logger logger = LoggerFactory.getLogger(CustomAuthenticationFailureHandler.class);

    @Override
    public void onAuthenticationFailure(
            HttpServletRequest request,
            HttpServletResponse response,
            AuthenticationException exception) throws IOException, ServletException {

        String redirectUrl;
        if (exception.getMessage().contains("example")) {
            redirectUrl = "/login?error=cause1";
        } else {
            redirectUrl = "/login?error=cause2";
        }
        // 直接重定向，不调用父类方法，避免requestCache的干扰
        response.sendRedirect(redirectUrl);
    }
}

这种方式更直接，完全控制重定向逻辑，避免Spring Security的requestCache和权限拦截对跳转URL的修改。

额外注意点 #

• 检查是否存在其他安全配置类或过滤器，可能覆盖了当前的权限规则
• 如果使用Thymeleaf等模板引擎，确保登录页面能正确读取error参数并展示对应提示

内容的提问来源于stack exchange，提问作者HamzaDevXX