SpringBoot Security配置自定义登录成败处理器不生效如何解决

• 优先级配置错误：你当前配置类上标注了@Order(SecurityProperties.IGNORED_ORDER)，该优先级是Spring Security专门用于静态资源等忽略拦截路径的配置优先级，远高于常规安全配置的优先级，如果项目中存在其他安全配置类，当前配置的formLogin规则很可能被覆盖。你可以先移除该@Order注解，或调整为常规优先级比如@Order(100)（Spring Security默认配置优先级为100）测试。
• 认证流程走了httpBasic而非formLogin：你的配置中同时开启了httpBasic()和formLogin()，如果你的登录请求携带了Basic认证的请求头，会优先走httpBasic认证流程，该流程不会触发formLogin下配置的成功/失败处理器。可以先注释掉.httpBasic().and()配置，确保登录请求走form表单认证流程。
• CSRF拦截导致请求提前终止：当前配置下仅/api/open/**路径跳过CSRF校验，如果你向/api/login发起POST登录请求时未携带正确的CSRF Token，请求会被CsrfFilter直接拦截返回403，根本不会进入登录认证流程，自然不会触发自定义处理器。你可以临时添加.csrf().disable()配置测试，若测试正常则说明是CSRF Token传递问题。
• 登录请求地址/方法不匹配：确认UrlConfigurator.API_LOGIN的值和你发起登录请求的地址完全一致，且请求方法为POST（UsernamePasswordAuthenticationFilter默认仅拦截POST请求的登录地址）。
• 存在更高优先级的安全配置类：检查项目中是否存在其他继承WebSecurityConfigurerAdapter的配置类，若其他配置类优先级更高也会导致当前formLogin配置不生效。
• 认证过程抛出非AuthenticationException异常：确认你自定义的CustomUserDetailsService中抛出的异常均为AuthenticationException的子类，若抛出其他类型的RuntimeException会直接走全局异常处理逻辑，不会触发登录失败处理器。

内容的提问来源于stack exchange，提问作者Marco Forte