Spring Boot整合Thymeleaf登录页输入正确凭证仍报无效异常排查
- 密码加密逻辑不匹配
Spring Security默认要求数据库存储的密码是经过加密器加密的，如果用户数据入库时用的加密算法和
SecurityConfig里配置的PasswordEncoder不一致，就算明文密码输入正确，校验也会失败。比如入库时直接存了明文，但是配置里用了BCryptPasswordEncoder，就会直接抛出无效凭证异常。
检查点：确认UserEntity入库时的加密逻辑和SecurityConfig中注册的PasswordEncoder是否完全一致，临时测试可以在UserRepositoryUserDetailsService的loadUserByUsername方法结尾打印passwordEncoder.matches(输入的明文密码, 数据库存储的密码)的返回值验证。
- 登录表单参数名和Spring Security默认参数不匹配
如果没有在
SecurityConfig里自定义登录参数名，Spring Security默认读取的账号参数是username，密码参数是password，如果login.html里表单的input框name属性写的是其他值（比如account、pwd），后端根本读不到输入的账号密码，直接校验失败。
检查点：核对login.html中账号密码输入框的name属性，或者在SecurityConfig的表单登录配置里添加usernameParameter("自定义的账号参数名")、passwordParameter("自定义的密码参数名")对齐参数。
- UserDetailsService返回的权限字段非法
Spring Security校验用户身份时，除了账号密码，也会校验权限字段是否合法，如果
UserEntity转UserDetails时，返回的权限集合是null，或者权限字符串没有加默认的ROLE_前缀（未修改前缀配置的前提下），也会触发认证失败。
检查点：核对UserRepositoryUserDetailsService中loadUserByUsername返回的User对象的authorities字段是否非空、格式符合要求。
- 用户名查询逻辑错误
如果
UserRepository的findByUsername方法逻辑写错，比如用了精确匹配但是数据库里存的用户名有前后空格，或者大小写敏感和预期不一致，会导致查询不到用户，直接抛无效凭证。
检查点：在UserRepository的findByUsername方法加日志，确认输入用户名时是否能查到对应的UserEntity实体。
- 跨站请求伪造拦截未处理
Spring Security默认开启CSRF防护，如果
login.html表单里没有加Thymeleaf的th:name="${_csrf.parameterName}" th:value="${_csrf.token}"隐藏域，登录请求会被CSRF拦截器直接拒绝，部分场景会返回无效凭证错误。
检查点：要么在login.html表单内添加CSRF隐藏域，要么测试时在SecurityConfig里临时添加http.csrf().disable()验证是否是该问题。
- 数据库密码字段长度不足
如果使用BCrypt加密，生成的密文长度是60位，如果
UserEntity对应的数据库password字段长度设置小于60位，加密后的密码会被截断，后续校验永远无法匹配。
检查点：核对数据库user表的password字段长度，至少预留100位存储加密后的密码。
内容的提问来源于stack exchange，提问作者Mama
