Spring Security授权失败：输入正确账号密码仍无法登录

1. 优先修复User类isEnabled返回false的问题 #

• 这是最直接的阻碍：Spring Security会校验用户启用状态，isEnabled()返回false时，系统直接判定用户不可用，拒绝登录请求。
• 解决：修改User类的isEnabled()方法，让它返回true；如果是数据库存储的字段，确保注册时该字段被设为启用状态（比如默认值为1或true）。

2. 解决configure(AuthenticationManagerBuilder)未生效的问题 #

• 因为没继承WebSecurityConfigurerAdapter，旧的配置方式失效。Spring Security 5.7+推荐用基于Bean的配置方式：
  • 确保你的自定义UserDetailsService（包含loadUserByUsername方法）已经注册为Spring Bean。
  • 注册PasswordEncoder Bean，且和注册时用的加密器一致（比如BCrypt）。
  • 通过SecurityFilterChain配置认证逻辑，示例代码：

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .usernameParameter("email") // 指定登录账号用请求里的email参数
                .permitAll()
            );
        return http.build();
    }
    
    @Bean
    public AuthenticationManager authenticationManager(AuthenticationConfiguration authConfig) throws Exception {
        return authConfig.getAuthenticationManager();
    }
    
    @Bean
    public UserDetailsService userDetailsService() {
        return new YourCustomUserDetailsService(); // 替换成你的UserDetailsService实现类
    }
    
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
    

• 这样配置后，AuthenticationManager会自动关联你的UserDetailsService和PasswordEncoder，触发loadUserByUsername加载用户信息。

3. 修正UsernamePasswordAuthenticationToken的使用方式 #

• 你调用无权限构造方法会导致token处于未认证状态，不会触发授权逻辑。正确流程：
  • 如果是手动触发认证，先创建未认证的token（传入邮箱和密码）：

    UsernamePasswordAuthenticationToken unauthenticatedToken = new UsernamePasswordAuthenticationToken(email, password);
    

  • 调用authenticationManager.authenticate(unauthenticatedToken)，方法内部会调用loadUserByUsername，认证通过后返回已认证的token（包含权限）。
  • 认证成功后，将已认证的token存入SecurityContext：

    Authentication authenticatedAuth = authenticationManager.authenticate(unauthenticatedToken);
    SecurityContextHolder.getContext().setAuthentication(authenticatedAuth);
    

4. 解决authenticate()中principal为空的问题 #

• 这是因为Spring Security默认找username参数，但你用邮箱作为登录账号，参数名不匹配导致无法获取principal。
• 解决：在SecurityFilterChain的formLogin配置里，用usernameParameter("email")指定请求中账号对应的参数名，确保系统能正确拿到邮箱作为登录账号。

内容的提问来源于stack exchange，提问作者Goldo lov