Spring Webflux Security自定义认证URL登录遇302错误如何解决？

核心问题 #

你的代码存在两个关键问题导致认证失败并触发302跳转：

1. 密码编码逻辑不一致：user用户使用withDefaultPasswordEncoder()生成密码（内部采用DelegatingPasswordEncoder），但全局配置的是BCryptPasswordEncoder，导致密码匹配失败；admin用户的密码编码逻辑正确，但user的密码无法被正确验证。
2. 默认认证失败跳转行为：Spring Webflux Security的formLogin默认在认证失败时会跳转至login?error，返回302状态码，你没有自定义失败处理器来覆盖这个行为。

修正后的配置代码 #

@Configuration
@EnableWebFluxSecurity
@EnableReactiveMethodSecurity
public class WebFluxSecurityConfig {

    @Bean
    public MapReactiveUserDetailsService userDetailsService(PasswordEncoder passwordEncoder) {
        // 统一使用全局的PasswordEncoder加密密码
        UserDetails user = User.withUsername("user")
                .password(passwordEncoder.encode("user"))
                .roles("USER")
                .build();

        UserDetails admin = User.withUsername("admin")
                .password(passwordEncoder.encode("admin"))
                .roles("ADMIN")
                .build();

        return new MapReactiveUserDetailsService(user, admin);
    }

    @Bean
    public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
        return http.csrf().disable()
                .authorizeExchange()
                .anyExchange().permitAll()
                .and()
                .formLogin()
                .requiresAuthenticationMatcher(new PathPatternParserServerWebExchangeMatcher("/api/authenticate"))
                .authenticationSuccessHandler((webFilterExchange, authentication) -> {
                    ServerHttpResponse response = webFilterExchange.getExchange().getResponse();
                    response.setStatusCode(HttpStatus.OK);
                    // 可选：添加JSON格式的成功响应体
                    response.getHeaders().setContentType(MediaType.APPLICATION_JSON);
                    String body = "{\"message\":\"登录成功\"}";
                    DataBuffer buffer = response.bufferFactory().wrap(body.getBytes(StandardCharsets.UTF_8));
                    return response.writeWith(Mono.just(buffer));
                })
                .authenticationFailureHandler((webFilterExchange, exception) -> {
                    ServerHttpResponse response = webFilterExchange.getExchange().getResponse();
                    response.setStatusCode(HttpStatus.UNAUTHORIZED);
                    // 可选：添加JSON格式的失败响应体
                    response.getHeaders().setContentType(MediaType.APPLICATION_JSON);
                    String body = "{\"message\":\"登录失败：" + exception.getMessage() + "\"}";
                    DataBuffer buffer = response.bufferFactory().wrap(body.getBytes(StandardCharsets.UTF_8));
                    return response.writeWith(Mono.just(buffer));
                })
                .and()
                .build();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

关键修正点说明 #

• 统一密码编码：移除withDefaultPasswordEncoder()，所有用户都使用注入的全局BCryptPasswordEncoder加密密码，确保密码验证逻辑完全一致。
• 自定义认证失败处理器：添加authenticationFailureHandler，覆盖默认跳转行为，直接返回401状态码和错误信息，避免302重定向。
• 完善响应内容：在成功/失败处理器中添加JSON格式响应体，让客户端能明确收到认证结果（可根据业务需求调整内容）。

测试注意事项 #

• 发送POST请求到localhost:8080/api/authenticate，请求参数使用username和password（formLogin默认参数名，如需自定义可通过usernameParameter和passwordParameter配置）。
• 确保请求的Content-Type为application/x-www-form-urlencoded（标准表单提交格式）。

内容的提问来源于stack exchange，提问作者tail