如何在controller类层返回bad request？验证token无效时阻止代码执行并返回401 - Unauthorized

你遇到的“token校验失败仍执行业务逻辑”的问题，核心原因是校验失败的分支没有真正阻断方法的执行流，具体的踩坑场景和对应修正方法如下：

常见踩坑场景 #

• 写完token无效的判断分支后，仅给响应对象设置了401状态码、拼接了错误返回内容，但没有加return语句终止方法执行，代码会顺着顺序流走到后续的业务层调用，自然就会触发业务逻辑
• 校验分支里构造了带401状态的响应对象，但没有把这个对象作为Controller方法的返回值抛出去，对象构造完就被丢弃，程序毫无阻碍地继续执行后面的业务代码
• 校验逻辑被包裹在try块里，捕获到校验阶段抛出的所有异常但没有重新抛出，导致校验失败的信号被悄悄吞掉，程序完全感知不到校验已经不通过，继续往下跑

可落地的修正方案 #

方案1：Controller内部校验时，严格堵住执行流 #

如果你确实要在Controller方法内部完成token校验，只要进入token无效的分支，必须在分支逻辑的最后立刻终止方法运行：

• 如果是直接返回JSON/视图的写法，在校验分支最后直接return对应的401响应结果，绝对不能让代码流跨过判断块走到业务调用的代码行
• 不要手动操作HttpServletResponse的输出流拼接响应，直接抛Spring内置的ResponseStatusException就行，框架会自动把401状态码、错误信息返回给调用方。抛异常之后程序会直接跳出当前执行栈，根本不会走到后面的业务代码，从机制上避免漏写return的低级失误，示例代码：

// token校验逻辑
if (!checkTokenValid(token)) {
    throw new ResponseStatusException(HttpStatus.UNAUTHORIZED, "Token无效，请重新登录");
}
// 只有校验通过，才会走到下面的业务调用
return bizService.doProcess();

方案2：把鉴权逻辑抽离到独立拦截层（更推荐长期维护） #

别把token校验的逻辑和业务Controller代码耦合在一起：

• 基于Spring MVC的HandlerInterceptor实现请求拦截，在请求进到Controller方法之前就完成token校验
• 基于Servlet原生Filter或者Spring Security的过滤器做全链路校验

这种实现下，校验不通过的请求会直接在拦截层返回401，根本不会穿透到Controller和业务方法层，从根源上杜绝无效请求执行核心业务逻辑的问题。

很多人有个误区：觉得只要给响应设置了401的状态码，程序就会自动停止执行。实际上除非你手动return终止方法，或者抛出异常打断执行栈，否则代码会老老实实把后面的所有逻辑跑完，不会因为你改了响应状态就自动停下来。

内容的提问来源于stack exchange，提问作者ryan1555