Tomcat自定义LoginModule如何在登录错误页展示特定错误信息？

刚好做过类似的需求，给你一步步拆解怎么实现——核心就是让自定义LoginModule抛出特定类型的异常，然后在Web层精准捕获这些异常，把对应的提示传递到错误页面。具体操作如下：

首先要把“密码错误”和“密码过期”这两种错误和通用登录错误区分开，所以需要创建两个继承自javax.security.auth.login.LoginException的自定义异常：

public class InvalidPasswordException extends LoginException {
    public InvalidPasswordException(String msg) {
        super(msg);
    }
}

public class ExpiredPasswordException extends LoginException {
    public ExpiredPasswordException(String msg) {
        super(msg);
    }
}

这两个异常就是我们区分错误类型的标识，后续LoginModule验证失败时就抛出对应异常，而不是通用的LoginException。

修改你的LoginModule的login()方法，根据验证结果抛出对应的异常——注意不要只返回false，因为返回false会让JAAS默认抛出通用登录异常，没法区分错误类型：

@Override
public boolean login() throws LoginException {
    // 从CallbackHandler获取用户名密码（这里假设你已经实现了这部分逻辑）
    String username = ...;
    String password = ...;

    // 用户名验证（如果需要的话）
    if (!isUsernameValid(username)) {
        throw new LoginException("用户名不存在");
    }

    // 密码正确性验证
    if (!isPasswordCorrect(username, password)) {
        throw new InvalidPasswordException("密码错误，请重新输入");
    }

    // 密码过期检查
    if (isPasswordExpired(username)) {
        throw new ExpiredPasswordException("您的密码已过期，请联系管理员重置");
    }

    // 验证通过，返回true
    return true;
}

接下来在处理登录请求的地方（比如登录Servlet、或者Spring Security的自定义处理器）捕获这些特定异常，把错误信息放到request属性里，再转发到错误页面。

示例1：普通Servlet场景 #

@WebServlet("/login")
public class LoginServlet extends HttpServlet {
    @Override
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        String username = request.getParameter("username");
        String password = request.getParameter("password");

        LoginContext loginContext = null;
        try {
            // 初始化JAAS登录上下文（这里假设你的JAAS配置名为"CustomLogin"）
            CallbackHandler handler = new UsernamePasswordCallbackHandler(username, password);
            loginContext = new LoginContext("CustomLogin", handler);
            loginContext.login();
            
            // 登录成功，跳转到首页
            response.sendRedirect(request.getContextPath() + "/home");
        } catch (InvalidPasswordException e) {
            // 捕获密码错误异常，设置提示信息
            request.setAttribute("errorMsg", e.getMessage());
            request.getRequestDispatcher("/login-error.jsp").forward(request, response);
        } catch (ExpiredPasswordException e) {
            // 捕获密码过期异常
            request.setAttribute("errorMsg", e.getMessage());
            request.getRequestDispatcher("/login-error.jsp").forward(request, response);
        } catch (LoginException e) {
            // 处理其他通用登录错误
            request.setAttribute("errorMsg", "登录失败，请重试");
            request.getRequestDispatcher("/login-error.jsp").forward(request, response);
        } finally {
            if (loginContext != null) {
                try {
                    loginContext.logout();
                } catch (LoginException ignored) {}
            }
        }
    }
}

示例2：Spring Security场景 #

如果用Spring Security，可以自定义AuthenticationFailureHandler来处理异常：

public class CustomFailureHandler implements AuthenticationFailureHandler {
    @Override
    public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException {
        String errorMsg;
        // 从AuthenticationException的cause中取出我们的自定义异常
        if (exception.getCause() instanceof InvalidPasswordException) {
            errorMsg = ((InvalidPasswordException) exception.getCause()).getMessage();
        } else if (exception.getCause() instanceof ExpiredPasswordException) {
            errorMsg = ((ExpiredPasswordException) exception.getCause()).getMessage();
        } else {
            errorMsg = "登录失败，请重试";
        }
        request.setAttribute("errorMsg", errorMsg);
        request.getRequestDispatcher("/login-error.html").forward(request, response);
    }
}

然后在Spring Security配置类中指定这个处理器即可。

最后在错误页面（比如JSP或Thymeleaf模板）中取出request里的错误信息显示：

JSP示例 #

<%@ page contentType="text/html;charset=UTF-8" %>
<html>
<head>
    <title>登录失败</title>
</head>
<body>
    <div class="alert alert-danger">
        <%= request.getAttribute("errorMsg") %>
    </div>
    <a href="${pageContext.request.contextPath}/login">返回登录页</a>
</body>
</html>

Thymeleaf示例 #

<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <title>登录失败</title>
</head>
<body>
    <div class="alert alert-danger" th:text="${errorMsg}"></div>
    <a th:href="@{/login}">返回登录页</a>
</body>
</html>

• 确保JAAS配置中你的LoginModule的flag设置为required，这样异常能被正确传递到Web层，不会被其他LoginModule忽略。
• 保持LoginModule的职责单一：只负责身份验证和抛出对应异常，不要在里面处理Web层的页面跳转或提示逻辑。

内容的提问来源于stack exchange，提问作者user1