Spring Boot中需认证时如何为AJAX请求返回不同响应

我开发了一个集成Spring Security和OAuth2登录的WebFlux应用，基础功能正常：用户未登录时会按预期跳转到登录页。但这个重定向机制对AJAX请求不友好——我希望AJAX请求未登录时返回401 Unauthorized状态码，而非被重定向到登录页。尝试通过exceptionHandling配置自定义认证入口点，但这个位置没法正确拦截这类请求，检查请求头时找不到X-Requested-With（明明是AJAX触发的请求）。

我的配置代码如下：

@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
    return http
            .authorizeExchange(authorizeExchangeSpec -> {
                authorizeExchangeSpec.anyExchange().authenticated();
            })
            .csrf(csrfSpec -> {
                csrfSpec.csrfTokenRepository(CookieServerCsrfTokenRepository.withHttpOnlyFalse());
            })
            .logout(logoutSpec -> {
                logoutSpec.logoutSuccessHandler(oidcLogoutSuccessHandler(this.clientRegistrationRepository));
            })
            .oauth2Login(Customizer.withDefaults())
            .exceptionHandling(exceptionHandlingSpec -> {
                exceptionHandlingSpec.authenticationEntryPoint((swe, e) -> {
                    // 这里似乎无法正确检测AJAX请求的头信息
                    if (swe.getRequest().getHeaders().containsKey("X-Requested-With")) {
                        return Mono.fromRunnable(() -> swe.getResponse().setStatusCode(HttpStatus.UNAUTHORIZED));
                    }
                });
            })
            .build();
}

问题根源是OAuth2登录默认的认证入口点优先级比你自定义的高，而且WebFlux里处理未认证请求的逻辑得先判断请求类型，再决定返回重定向还是状态码。你需要替换默认的ServerAuthenticationEntryPoint，结合请求头做差异化处理：

1. 自定义认证入口点逻辑 #

保留OAuth2登录的重定向逻辑，同时给AJAX请求返回401状态码，通过包装默认的OAuth2入口点实现：

@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
    // 获取默认的OAuth2登录认证入口点
    ServerAuthenticationEntryPoint defaultEntryPoint = new OAuth2LoginAuthenticationEntryPoint(
            http.getSharedObject(ClientRegistrationRepository.class));

    // 自定义入口点：判断请求是否为AJAX
    ServerAuthenticationEntryPoint customEntryPoint = (exchange, ex) -> {
        ServerHttpRequest request = exchange.getRequest();
        // 检查AJAX请求的标准头（大部分前端框架会自动带上这个）
        if ("XMLHttpRequest".equals(request.getHeaders().getFirst("X-Requested-With"))) {
            // 给AJAX请求返回401状态码
            exchange.getResponse().setStatusCode(HttpStatus.UNAUTHORIZED);
            return exchange.getResponse().setComplete();
        }
        // 非AJAX请求，走默认的OAuth2重定向到登录页逻辑
        return defaultEntryPoint.commence(exchange, ex);
    };

    return http
            .authorizeExchange(authorizeExchangeSpec -> authorizeExchangeSpec.anyExchange().authenticated())
            .csrf(csrfSpec -> csrfSpec.csrfTokenRepository(CookieServerCsrfTokenRepository.withHttpOnlyFalse()))
            .logout(logoutSpec -> logoutSpec.logoutSuccessHandler(oidcLogoutSuccessHandler(this.clientRegistrationRepository)))
            .oauth2Login(Customizer.withDefaults())
            .exceptionHandling(exceptionHandlingSpec -> exceptionHandlingSpec.authenticationEntryPoint(customEntryPoint))
            .build();
}

2. 关键注意事项 #

• 必须替换默认的认证入口点，而不是追加自定义逻辑，这样才能保证AJAX请求的判断优先执行。
• 要检查X-Requested-With头的具体值是XMLHttpRequest，而不是只判断头是否存在——有些场景下可能会有同名但值不对的情况。
• 处理AJAX请求时一定要调用setComplete()结束响应，否则前端请求会一直处于挂起状态。

3. 扩展：返回JSON格式错误响应 #

如果需要给前端返回更友好的JSON错误信息，可以修改AJAX分支的逻辑：

if ("XMLHttpRequest".equals(request.getHeaders().getFirst("X-Requested-With"))) {
    ServerHttpResponse response = exchange.getResponse();
    response.setStatusCode(HttpStatus.UNAUTHORIZED);
    response.getHeaders().setContentType(MediaType.APPLICATION_JSON);
    // 构造自定义错误JSON
    String errorJson = "{\"code\":401,\"msg\":\"用户未登录，请先登录\"}";
    DataBuffer buffer = response.bufferFactory().wrap(errorJson.getBytes(StandardCharsets.UTF_8));
    return response.writeWith(Mono.just(buffer));
}

内容的提问来源于stack exchange，提问作者nicholasnet