Spring 5中OAuth2AuthenticationEntryPoint已弃用，请求头拦截过滤器的401响应替代方案咨询

我实现了一个过滤器，当请求中存在特定请求头时会返回401未授权状态码。我的过滤器代码如下：

@Component
@Order(1)
public class BlockHeaderFilter implements Filter {
    private static final AuthenticationEntryPoint authenticationEntryPoint = new OAuth2AuthenticationEntryPoint();

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        ...
        if (headerExist) {
            Exception failed = new Exception("Unauthorized request. x-private header is forbidden");
            authenticationEntryPoint.commence(
                httpServletRequest,
                httpServletResponse,
                new InsufficientAuthenticationException(failed.getMessage(), failed)
            );
        }
        ...
    }
}

该代码原本运行正常，但自Spring 5版本起，org.springframework.security.oauth2.provider.error.OAuth2AuthenticationEntryPoint类已被标记为弃用，其弃用注释说明如下：

/**

• 如果认证失败，且调用者要求特定内容类型的响应，此入口点可返回对应内容，并附带标准401状态码。
• 按常规方式将其作为{@link AuthenticationEntryPoint}添加到Spring Security配置中即可。
• @deprecated 请查阅Spring Security 5的OAuth 2.0迁移指南。
• @author Dave Syer
• */
  @Deprecated
  public class OAuth2AuthenticationEntryPoint extends AbstractOAuth2SecurityExceptionHandler implements AuthenticationEntryPoint {
  ...
  }

我查阅了相关资料，未找到实现相同功能的现代代码模式，请问OAuth2AuthenticationEntryPoint的替代类或方案是什么？

好问题！在Spring Security 5+的OAuth2生态里，OAuth2AuthenticationEntryPoint的职责已经被拆分到几个更专注的类中，具体可以根据你的应用场景选择：

1. 标准OAuth2资源服务器场景：用BearerTokenAuthenticationEntryPoint #

这是官方推荐的替代方案，专门为Bearer令牌认证失败场景设计，完全符合RFC 6750规范，默认会返回401状态码并自动处理WWW-Authenticate响应头。

你可以直接替换原来的实例化代码：

private static final AuthenticationEntryPoint authenticationEntryPoint = new BearerTokenAuthenticationEntryPoint();

如果需要调整响应的Realm信息，还可以通过setRealmName()方法自定义：

BearerTokenAuthenticationEntryPoint entryPoint = new BearerTokenAuthenticationEntryPoint();
entryPoint.setRealmName("your-realm");

2. 需要完全自定义响应格式：实现AuthenticationEntryPoint接口 #

如果你的业务要求返回特定格式的错误响应（比如JSON结构的错误信息），完全可以自己实现AuthenticationEntryPoint，这比依赖弃用类更灵活可控。示例代码如下：

public class CustomAuthEntryPoint implements AuthenticationEntryPoint {
    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException {
        response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
        response.setContentType(MediaType.APPLICATION_JSON_VALUE);
        
        Map<String, Object> errorBody = new HashMap<>();
        errorBody.put("code", 401);
        errorBody.put("message", authException.getMessage());
        errorBody.put("request_path", request.getRequestURI());
        
        new ObjectMapper().writeValue(response.getOutputStream(), errorBody);
    }
}

然后在过滤器中使用这个自定义类：

private static final AuthenticationEntryPoint authenticationEntryPoint = new CustomAuthEntryPoint();

3. 更规范的做法：统一配置到Spring Security FilterChain #

其实更推荐的方式是把认证入口点统一配置到Spring Security的全局配置中，而不是在自定义过滤器里硬编码，这样所有认证失败场景都会被统一处理。比如在资源服务器配置类中：

@Configuration
@EnableWebSecurity
public class ResourceServerConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .anyRequest().authenticated()
            .and()
            .oauth2ResourceServer()
                .authenticationEntryPoint(new BearerTokenAuthenticationEntryPoint()); // 或你的自定义实现
    }
}

这样就不需要在自定义过滤器中单独处理认证失败逻辑，代码会更整洁。

内容的提问来源于stack exchange，提问作者ET-CS