Spring Security无效登录始终返回403 错误区分与自定义响应方案

核心问题根因 #

当前所有错误统一返回403、拿不到具体异常信息的原因有两点：

• unsuccessfulAuthentication中直接调用父类默认实现，Spring Security默认逻辑只会写入403状态码，不会透传具体异常信息
• loadUserByUsername逻辑缺失：邮箱查询为空时未抛出对应异常，同时未对认证链路抛出的异常做类型区分

第一步：补全异常抛出，统一三类错误的异常标识 #

修改loadUserByUsername方法，补全分支异常，注意用Spring Security内置的标准认证异常，保证异常能正常传递到失败拦截点：

@SneakyThrows
@Override
public UserDetails loadUserByUsername(String email){
    User user = findUserByEmail(email);
    // 补全邮箱不存在分支的异常抛出
    if (user == null){
        throw new UsernameNotFoundException("登录邮箱不存在");
    }
    // 账号禁用场景使用DisabledException，和锁定场景的AccountLockedException做语义区分
    if (!user.isEnabled()){
        throw new DisabledException("账号已被禁用");
    }
    Collection<SimpleGrantedAuthority> authorities = new ArrayList<>();
    user.getRoles().forEach(role -> authorities.add(new SimpleGrantedAuthority(role.getName())));
    sucessfulLogin(user);
    return new org.springframework.security.core.userdetails.User(user.getEmail(), user.getPassword(), authorities);
}

三类登录错误对应的标准异常类型：

• 邮箱不存在：UsernameNotFoundException
• 账号禁用：DisabledException
• 密码错误：BadCredentialsException（由DaoAuthenticationProvider在密码比对阶段自动抛出，不需要手动实现校验逻辑）

第二步：重写unsuccessfulAuthentication逻辑，区分异常返回对应响应 #

去掉父类方法调用，直接在方法内实现异常判断、暴力破解防护、自定义响应逻辑：

@Override
protected void unsuccessfulAuthentication(HttpServletRequest request, HttpServletResponse response, AuthenticationException failed) throws IOException, ServletException {
    // 暴力破解防护逻辑可在此处实现：根据请求IP、登录账号统计时间窗口内失败次数，超过阈值直接返回限流提示即可
    // String loginEmail = request.getParameter("email");
    // String clientIp = request.getRemoteAddr();
    // loginAttemptService.recordFail(loginEmail, clientIp);

    response.setContentType("application/json;charset=UTF-8");
    int httpStatus;
    String errorMsg;

    // 按异常类型匹配对应错误
    if (failed instanceof UsernameNotFoundException) {
        httpStatus = HttpServletResponse.SC_BAD_REQUEST;
        errorMsg = "登录邮箱未注册";
    } else if (failed instanceof DisabledException) {
        httpStatus = HttpServletResponse.SC_FORBIDDEN;
        errorMsg = "账号已被禁用，请联系管理员";
    } else if (failed instanceof BadCredentialsException) {
        httpStatus = HttpServletResponse.SC_UNAUTHORIZED;
        // 生产环境建议统一返回"用户名或密码错误"，避免攻击者枚举有效账号
        errorMsg = "邮箱或密码输入错误";
    } else {
        httpStatus = HttpServletResponse.SC_INTERNAL_SERVER_ERROR;
        errorMsg = "登录服务异常，请稍后重试";
    }

    response.setStatus(httpStatus);
    // 写入响应体，使用项目中统一的JSON序列化工具即可，以下示例用Jackson实现
    Map<String, Object> resp = new HashMap<>();
    resp.put("code", httpStatus);
    resp.put("msg", errorMsg);
    response.getWriter().write(new ObjectMapper().writeValueAsString(resp));
    // 写完响应直接返回，不要继续走后续过滤器链
    return;
}

避坑提示 #

• 不要混用异常类型：账号锁定用AccountLockedException、账号禁用用DisabledException、凭证错误用BadCredentialsException、用户不存在用UsernameNotFoundException，异常类型不统一会导致判断逻辑失效
• 如果项目中配置了全局AuthenticationEntryPoint，需要确认其逻辑不会覆盖当前方法写入的响应，最稳妥的方式就是写完响应后直接return，终止后续链路执行
• 不要手动在loadUserByUsername里做密码比对，密码校验由DaoAuthenticationProvider自动完成，手动实现容易出现加密逻辑不匹配、时序攻击等安全问题
• 暴力破解计数逻辑建议同时绑定IP和账号维度，避免单IP被用来批量撞库多个账号

内容的提问来源于stack exchange，提问作者ABpositive