Spring Boot禁用用户登录无错误提示及认证失败问题求助

你的核心问题是禁用用户登录时无法触发“用户已禁用”的错误提示，反而出现内部服务器错误，根源是代码中的两处关键逻辑错误，以下是具体修复步骤：

一、修复UserRepository的查询逻辑（最核心问题） #

你的UsuarioRepositorio中findByUsername方法的查询条件完全错误：

// 原错误代码
@Query("SELECT u FROM User u WHERE u.user= ?1 AND u.enabled= False")
public User findByUsername(String user);

这个查询只会返回禁用状态的用户，导致：

• 启用状态的用户登录时，查询返回null，触发UsernameNotFoundException
• 禁用状态的用户登录时，虽然能查到用户，但后续逻辑会抛出DisabledException，但整体逻辑完全颠倒

修复： #

移除enabled= False的条件，查询所有匹配用户名的用户：

public interface UsuarioRepositorio extends JpaRepository<User, Long> {
    // 只按用户名查询，不限制启用状态
    @Query("SELECT u FROM User u WHERE u.user= ?1")
    public User findByUsername(String user);
    
    // 或者用Spring Data JPA的方法命名查询（更简洁）
    // User findByUser(String user);
}

二、调整CustomUserDetailsService的异常逻辑 #

现在查询能获取到所有状态的用户，接下来在Service中正确判断用户启用状态：

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Autowired
    private UsuarioRepositorio userRepo;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepo.findByUsername(username);
        
        if (user == null) {
            throw new UsernameNotFoundException("用户不存在");
        }

        if (!user.getEnabled()) {
            throw new DisabledException("用户已禁用");
        }

        return new CustomUserDetails(user);
    }
}

三、优化AuthenticationFailureHandler的跳转逻辑 #

原代码中反复调用super.setDefaultFailureUrl会修改全局默认跳转地址，可能导致后续请求异常。建议直接构造跳转URL：

@Component
public class AuthenticationFailureHandler extends SimpleUrlAuthenticationFailureHandler {
    
    @Override
    public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response,
            AuthenticationException exception) throws IOException, ServletException {
        System.out.println("用户登录失败. 错误: " + exception.getMessage());

        String redirectUrl = "/login?error=";
        if (exception instanceof DisabledException) {
            redirectUrl += "inactiveUser";
        } else {
            redirectUrl += "badCredentials";
        }
        
        getRedirectStrategy().sendRedirect(request, response, redirectUrl);
    }
}

四、验证CustomUserDetails实现（最佳实践） #

确保你的CustomUserDetails类正确实现UserDetails接口的isEnabled()方法：

public class CustomUserDetails implements UserDetails {
    private User user;

    public CustomUserDetails(User user) {
        this.user = user;
    }

    // 实现其他UserDetails方法...

    @Override
    public boolean isEnabled() {
        return user.getEnabled();
    }
}

修复效果 #

完成以上修改后：

1. 禁用用户登录时，CustomUserDetailsService会抛出DisabledException
2. AuthenticationFailureHandler捕获异常后跳转到/login?error=inactiveUser
3. 前端Thymeleaf会正确显示“用户已禁用”的提示
4. 控制台不再出现内部错误日志

内容的提问来源于stack exchange，提问作者Djorkaeff