Spring Boot应用独立部署时401认证错误返回500内部错误如何解决？

根因分析 #

1. 自定义认证异常类型错误：你在认证过滤器中抛出的是普通RuntimeException，而非Spring Security规定的AuthenticationException子类，导致异常无法被你配置的JwtAuthenticationEntryPoint处理，直接向上抛给了Servlet容器。
2. EntryPoint实现不完整：你的JwtAuthenticationEntryPoint中没有手动设置401状态码，也没有主动完成响应提交，异常抛出后容器会触发默认的错误页面转发逻辑。
3. 错误路径未放行：你的Spring Security配置中没有放行/error路径，容器转发错误页面请求时再次触发认证拦截，形成循环最终抛出500错误。
4. 内置/独立容器配置差异：Spring Boot内置Tomcat运行时默认启用白标签错误页，且不会强制转发未处理异常到容器错误页；而独立Tomcat/Apache服务器默认开启错误页面转发规则，两者异常处理逻辑不同触发了差异。

排查解决步骤 #

• 第一步：修改认证过滤器的异常抛出逻辑，认证失败时抛出AuthenticationException的子类（比如BadCredentialsException），确保异常能被JwtAuthenticationEntryPoint捕获处理。
• 第二步：完善JwtAuthenticationEntryPoint实现，手动设置401状态码、响应内容类型，完成响应提交，避免异常继续向上抛：

@Override
public void commence(HttpServletRequest request,
                 HttpServletResponse response,
                 AuthenticationException authException) throws IOException {
    // 设置401状态码
    response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
    // 设置响应类型避免乱码
    response.setContentType("application/json;charset=UTF-8");
    // 输出自定义错误信息
    response.getWriter().write("{\"code\":401,\"message\":\"" + authException.getMessage() + "\"}");
    // 主动刷新缓冲提交响应
    response.getWriter().flush();
}

• 第三步：在Spring Security配置中放行/error路径，避免错误页面转发触发认证：

.antMatchers("admin/**", "/error").permitAll()

• 第四步：如果是使用Apache httpd做反向代理部署，检查Apache的ErrorDocument配置，确认没有规则强制将4xx状态码替换为500错误。
• 第五步：对比本地和服务器的Spring Boot配置文件，确认server.error开头的配置项没有差异，避免错误处理规则不一致。

内容的提问来源于stack exchange，提问作者Kumar Gaurav Sharma