Spring Boot Security授权返回403：认证方法执行中断问题排查

一、核心问题排查与修复 #

1. AuthenticationManager Bean未正确暴露 #

你的authenticate方法调用了authenticationManager.authenticate()，但在SecurityConfig中没有显式暴露AuthenticationManager Bean。Spring Security 5+默认不会将AuthenticationManager注册为全局Bean，会导致调用时出现异常，直接中断流程。

修复方法：在SecurityConfig中添加AuthenticationManager的Bean配置：

@Bean
public AuthenticationManager authenticationManager(HttpSecurity http) throws Exception {
    return http.getSharedObject(AuthenticationManagerBuilder.class)
            .authenticationProvider(authenticationProvider)
            .build();
}

同时确保服务类中通过构造注入或@Autowired正确获取AuthenticationManager实例。

2. AuthenticationProvider实现存在问题 #

你注入了AuthenticationProvider但未提供其代码，这是认证流程的核心组件。如果它的authenticate方法抛出BadCredentialsException（如密码不匹配）或其他认证异常，且未被捕获，Spring Security会直接返回403，流程中断在authenticationManager.authenticate()步骤。

检查与修复：

• 确认AuthenticationProvider中密码编码器配置正确（如使用BCryptPasswordEncoder），且密码匹配逻辑无误。
• 当用户不存在时，抛出Spring Security标准的UsernameNotFoundException，而非自定义异常，框架会正确处理这类异常。

示例AuthenticationProvider实现：

@Component
public class CustomAuthenticationProvider implements AuthenticationProvider {

    private final UserDetailsService userDetailsService;
    private final PasswordEncoder passwordEncoder;

    public CustomAuthenticationProvider(UserDetailsService userDetailsService, PasswordEncoder passwordEncoder) {
        this.userDetailsService = userDetailsService;
        this.passwordEncoder = passwordEncoder;
    }

    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        String username = authentication.getName();
        String password = authentication.getCredentials().toString();

        UserDetails userDetails = userDetailsService.loadUserByUsername(username);
        if (passwordEncoder.matches(password, userDetails.getPassword())) {
            return new UsernamePasswordAuthenticationToken(userDetails, password, userDetails.getAuthorities());
        } else {
            throw new BadCredentialsException("密码错误");
        }
    }

    @Override
    public boolean supports(Class<?> authentication) {
        return authentication.equals(UsernamePasswordAuthenticationToken.class);
    }
}

3. 认证异常未捕获处理 #

你的authenticate方法仅声明抛出NotFoundException，但authenticationManager.authenticate()会抛出多种AuthenticationException（如BadCredentialsException、LockedException等），这些异常未被捕获时，Spring会直接返回403，且不会执行后续的userDao调用。

修复方法：捕获认证相关异常并处理：

public AuthenticationResponse authenticate(AuthenticationRequest request) throws NotFoundException {
    try {
        this.authenticationManager.authenticate(
            new UsernamePasswordAuthenticationToken(
                    request.getUsername(),
                    request.getPassword()
            )
        );
    } catch (BadCredentialsException e) {
        throw new RuntimeException("用户名或密码错误");
    } catch (AuthenticationException e) {
        throw new RuntimeException("认证失败: " + e.getMessage());
    }
    
    var user = userDao.getUser(request.getUsername());
    if (user == null) {
        throw new NotFoundException("用户不存在");
    }
    
    var jwtToken = jwtService.generateToken(
            UserDetailsImplementation.build(user)
    );

    return new AuthenticationResponse(jwtToken);
}

4. UserDetails权限配置问题 #

• 检查UserDetailsImplementation.build(user)是否正确设置了用户的权限（authorities），如果权限集合为空，后续接口访问可能因权限不足返回403。
• 确认JwtService.isTokenValid方法不仅验证签名和过期时间，还正确核对token中的用户名与UserDetails的用户名是否一致。

二、额外验证点 #

• 确认登录接口路径（/api/v1/auth/**）确实在白名单中，不会被JwtAuthenticationFilter拦截。
• 调试时查看authenticationManager.authenticate()抛出的具体异常类型，这是定位问题的核心依据。

内容的提问来源于stack exchange，提问作者King of Cookies