Spring Security重写unsuccessfulAuthentication设置响应状态码不生效问题

业务需要在指定条件满足时向前端返回差异化错误提示，开发过程中发现接口响应状态码无法修改，始终返回401，需要可行的解决方案参考。

重写Spring Security的unsuccessfulAuthentication方法实现自定义登录失败逻辑时，执行逻辑如下：

• 从请求中获取登录邮箱账号
• 调用暴力破解防护服务更新该账号的登录失败次数
• 若服务返回非空的账号锁定提示信息，尝试通过response.setStatus(455)设置自定义响应状态码
• 最后调用父类的unsuccessfulAuthentication方法

实际测试时接口响应状态始终为401，设置的自定义状态码未生效。

@Override
protected void unsuccessfulAuthentication(HttpServletRequest request, HttpServletResponse response,
                                          AuthenticationException failed) throws IOException, ServletException {
    String email = request.getParameter("username");
    String lockMessage = bruteForceProtectionService.updateFailedLoginAttempts(email);
    if (!StringUtil.isEmpty(lockMessage)) {
        response.setStatus(455);
    }
    super.unsuccessfulAuthentication(request, response, failed);
}

自定义状态码不生效的核心原因是：你调用的父类unsuccessfulAuthentication方法内部会主动将响应状态码设置为401，直接覆盖了你之前设置的455状态码。
Spring Security默认的unsuccessfulAuthentication实现中，会通过response.sendError(HttpServletResponse.SC_UNAUTHORIZED, ...)的方式返回认证失败结果，该方法不仅会把状态码改成401，还会触发Servlet容器的默认错误页处理逻辑，覆盖你之前对response做的所有状态设置。

优先选择分支处理的方式，在触发账号锁定的特殊逻辑时直接返回自定义响应，不执行父类默认逻辑，避免状态被覆盖：

@Override
protected void unsuccessfulAuthentication(HttpServletRequest request, HttpServletResponse response,
                                          AuthenticationException failed) throws IOException, ServletException {
    String email = request.getParameter("username");
    String lockMessage = bruteForceProtectionService.updateFailedLoginAttempts(email);
    if (!StringUtil.isEmpty(lockMessage)) {
        // 账号锁定场景：设置自定义状态码，直接写入响应后结束请求，不走父类默认逻辑
        response.setStatus(455);
        response.setContentType("application/json;charset=UTF-8");
        response.getWriter().write(lockMessage);
        // 强制刷新缓冲区，确保响应内容和状态码提交
        response.flushBuffer();
        return;
    }
    // 普通登录失败场景，复用原有父类逻辑
    super.unsuccessfulAuthentication(request, response, failed);
}

如果需要保留父类的所有附加处理逻辑，也可以尝试在调用父类方法之后再执行response.setStatus(455)覆盖状态码，但该方案在父类方法已经提交响应（调用了sendError并触发容器错误处理）时会失效，不推荐优先使用。

内容的提问来源于stack exchange，提问作者predator