Spring Security登录失败排查：自定义数据源与密码编码器场景

问题定位分析 #

测试类中密码匹配验证通过，但实际登录失败，核心原因通常是Spring Security未正确使用自定义的认证提供者，或者UserDetails实现类的状态方法返回异常，也可能是请求参数不匹配。

解决方案步骤 #

1. 确保自定义AuthenticationProvider被注册到SecurityFilterChain

你的配置类中已经定义了DaoAuthenticationProvider Bean，但未将其关联到HttpSecurity中，导致Spring Security使用默认认证逻辑而非自定义实现。修改securityFilterChain方法：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    // 关键：将自定义认证提供者加入HttpSecurity
    http.authenticationProvider(authenticationProvider());
    
    http.formLogin().loginProcessingUrl("/api/login").permitAll()
            .successHandler((request, response, authentication) -> {
                this.sendMessage(response, authentication);
            })
            .failureHandler((request, response, exception) -> {
                // 打印异常详情，方便排查
                log.error("登录失败", exception);
                jwtTokenFilter.sendError(response, HttpServletResponse.SC_UNAUTHORIZED, "登录失败：" + exception.getMessage());
            });
    http.logout().invalidateHttpSession(true).clearAuthentication(false);
    http.rememberMe().disable();
    http.csrf().disable();
    return http.build();
}

2. 检查UserInfo实体是否正确实现UserDetails接口

loadUserByUsername返回的UserInfo必须完整实现UserDetails的所有方法，任何一个状态方法返回false都会导致认证失败。示例实现：

public class UserInfo implements UserDetails {
    private String username;
    private String password;
    // 其他业务字段

    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        // 无权限需求时返回空集合，或根据业务返回对应权限
        return Collections.emptyList();
    }

    @Override
    public String getPassword() {
        return password;
    }

    @Override
    public String getUsername() {
        return username;
    }

    // 以下方法必须返回true，否则会被判定为账号不可用
    @Override
    public boolean isAccountNonExpired() {
        return true;
    }

    @Override
    public boolean isAccountNonLocked() {
        return true;
    }

    @Override
    public boolean isCredentialsNonExpired() {
        return true;
    }

    @Override
    public boolean isEnabled() {
        return true;
    }

    // getter、setter方法
}

3. 验证登录请求参数名匹配

Spring Security默认接收username和password作为登录参数名，如果前端传递的参数名不同，需在formLogin中配置：

http.formLogin()
    .loginProcessingUrl("/api/login")
    .usernameParameter("your-username-param") // 替换为实际前端参数名
    .passwordParameter("your-password-param") // 替换为实际前端参数名
    .permitAll()
    // ... 其他配置

实现登录成功返回Token #

修改successHandler逻辑，生成JWT并返回给前端：

.successHandler((request, response, authentication) -> {
    // 获取认证后的用户信息
    UserDetails userDetails = (UserDetails) authentication.getPrincipal();
    // 调用JWT工具类生成Token（需在jwtTokenFilter中实现generateToken方法）
    String token = jwtTokenFilter.generateToken(userDetails);
    
    // 构造返回结果
    Map<String, Object> responseData = new HashMap<>();
    responseData.put("code", 200);
    responseData.put("message", "登录成功");
    responseData.put("token", token);
    
    // 设置响应格式并返回
    response.setContentType("application/json;charset=UTF-8");
    response.getWriter().write(gson.toJson(responseData));
})

确保jwtTokenFilter中包含generateToken方法，示例逻辑：

public String generateToken(UserDetails userDetails) {
    // 使用JWT库（如jjwt）生成Token，示例伪代码
    return Jwts.builder()
            .setSubject(userDetails.getUsername())
            .setExpiration(new Date(System.currentTimeMillis() + 7200000)) // 2小时有效期
            .signWith(SignatureAlgorithm.HS512, "your-secret-key") // 替换为实际密钥
            .compact();
}

内容的提问来源于stack exchange，提问作者gold-three