Spring Security自定义OpaqueTokenIntrospector异常抛出失效问题

你的问题根源在于异常类型不匹配、Token提取逻辑遗漏、异常处理逻辑触发重复调用，以下是具体修复方案：

1. 修改Introspector抛出规范的OAuth2异常 #

Spring Security处理OpaqueToken时，仅识别OAuth2专属异常（而非通用AuthenticationException）才能正确拦截，否则会触发重试逻辑导致循环。调整你的Introspector实现：

// 类名与接口区分开，避免命名混淆
public class CustomOpaqueTokenIntrospector implements OpaqueTokenIntrospector {

    @Override
    public OAuth2AuthenticatedPrincipal introspect(String token) {
        if (token == null || token.trim().isEmpty()) {
            // 抛出Spring Security提供的InvalidTokenException，属于OAuth2规范异常
            throw new InvalidTokenException("Token is null or empty");
        }
        // 你的其他Token校验逻辑...
    }
}

2. 完善Token提取逻辑（移除Bearer前缀） #

如果extractAuthorizationHeaderAsString未移除Bearer 前缀，会导致传入introspect的是带前缀的无效字符串，触发重试。补充完整提取逻辑：

private String extractAuthorizationHeaderAsString(HttpServletRequest request) {
    String authHeader = request.getHeader(HttpHeaders.AUTHORIZATION);
    if (authHeader != null && authHeader.startsWith("Bearer ")) {
        // 移除"Bearer "前缀，仅返回纯Token字符串
        return authHeader.substring(7).trim();
    }
    return null;
}

3. 修正AuthenticationManager配置 #

确保AuthenticationManager使用Spring Security提供的OpaqueTokenAuthenticationProvider，保证异常能被正确处理：

@Bean
public AuthenticationManager authenticationManager(OpaqueTokenIntrospector introspector) {
    OpaqueTokenAuthenticationProvider provider = new OpaqueTokenAuthenticationProvider(introspector);
    return new ProviderManager(Collections.singletonList(provider));
}

4. 调整过滤器的异常处理逻辑 #

unsuccessfulAuthentication中抛出异常会导致过滤器链重复处理请求，改为直接交给FailureHandler生成401响应：

@Override
protected void unsuccessfulAuthentication(HttpServletRequest request, HttpServletResponse response, AuthenticationException failed) throws IOException, ServletException {
    // 直接调用FailureHandler返回401，避免抛出异常触发循环
    getAuthenticationFailureHandler().onAuthenticationFailure(request, response, failed);
}

5. 配置自定义AuthenticationFailureHandler返回401 #

确保FailureHandler正确生成401状态码的响应：

@Bean
public AuthenticationFailureHandler authenticationFailureHandler() {
    return (request, response, exception) -> {
        response.setStatus(HttpStatus.UNAUTHORIZED.value());
        response.setContentType(MediaType.APPLICATION_JSON_VALUE);
        // 返回自定义错误信息（可选）
        String errorJson = String.format("{\"code\":\"UNAUTHORIZED\",\"message\":\"%s\"}", exception.getMessage());
        response.getWriter().write(errorJson);
    };
}

6. 排查过滤器链冲突 #

确保过滤器链未同时配置自定义AccessTokenFilter和Spring Security自带的oauth2ResourceServer().opaqueToken()，两者二选一即可，避免重复处理Token导致循环。

按以上步骤修改后，当Token为null时，Introspector抛出的InvalidTokenException会被正确捕获，通过FailureHandler返回401状态码，同时解决循环调用问题。

内容的提问来源于stack exchange，提问作者JJ36