Spring Boot中如何在AuthenticationFilter中基于权限列表失效已通过认证

你遇到的问题核心在于：Spring Security的AbstractAuthenticationProcessingFilter（你的AuthenticationFilter应该继承自它）逻辑是，只要attemptAuthentication方法返回了非null的Authentication对象，无论其authenticated属性是true还是false，都会判定为认证成功，进而调用successfulAuthentication。直接调用setAuthenticated(false)并不会改变这个流程，因为该方法仅修改对象的状态标记，不会触发认证失败的分支逻辑。

正确的做法是抛出AuthenticationException子类异常，这样会直接进入认证失败的处理流程，跳过successfulAuthentication。具体实现如下：

@Override
public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {

    UserLoginRequestModel userLoginRequestModel = extractCredentials(request);
    UsernamePasswordAuthenticationToken userToken = new UsernamePasswordAuthenticationToken(
            userLoginRequestModel.getUsername(), userLoginRequestModel.getPassword(), new ArrayList<>());

    // 完成账号密码认证
    Authentication authentication = authenticationManager.authenticate(userToken);
    
    // 检查是否包含所需的全部权限
    boolean hasRequiredAuthorities = authentication.getAuthorities().stream()
            .map(GrantedAuthority::getAuthority)
            .collect(Collectors.toSet())
            .containsAll(Set.of("AUTHORITY-1", "AUTHORITY-2"));

    if (!hasRequiredAuthorities) {
        // 抛出权限不足的认证异常，触发失败流程
        throw new InsufficientAuthenticationException("用户缺少必要权限，认证失败");
    }

    return authentication;
}

补充说明 #

• InsufficientAuthenticationException是Spring Security提供的内置异常，专门用于表示认证通过但权限不足的场景，你也可以自定义继承AuthenticationException的异常类来适配业务需求。
• 抛出异常后，会自动触发unsuccessfulAuthentication方法（如果你的过滤器重写了该方法），或者使用Spring Security默认的失败处理逻辑，不会再进入successfulAuthentication。
• 这种方式符合Spring Security的认证流程设计，比手动修改Authentication状态更规范，也能保证后续的安全上下文不会被错误地设置为已认证状态。

内容的提问来源于stack exchange，提问作者pixel