Spring Boot+Spring Security部署JBoss时认证失败返回HTML，如何与Tomcat一致？

这个问题我之前部署Spring Boot应用到JBoss时也踩过坑！核心原因是JBoss默认会接管sendError()触发的错误响应，自动把它转换成自带的HTML错误页面，而本地嵌入式Tomcat没有这个默认拦截逻辑，所以两边表现不一致。下面给你几个可行的解决办法，按推荐优先级排序：

1. 自定义认证失败处理器（最推荐，跨容器兼容） #

放弃使用SimpleUrlAuthenticationFailureHandler的sendError()方式，自己写一个处理器直接输出JSON响应，完全掌控响应内容，不让JBoss有机会拦截。

首先写自定义的失败处理器：

public class JsonAuthenticationFailureHandler extends SimpleUrlAuthenticationFailureHandler {

    private final ObjectMapper objectMapper = new ObjectMapper();

    @Override
    public void onAuthenticationFailure(HttpServletRequest request, 
                                        HttpServletResponse response, 
                                        AuthenticationException exception) throws IOException {
        // 设置响应头为JSON类型
        response.setContentType("application/json;charset=UTF-8");
        response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);

        // 构造错误响应体
        Map<String, Object> errorResponse = new HashMap<>();
        errorResponse.put("code", HttpServletResponse.SC_UNAUTHORIZED);
        errorResponse.put("message", "Authentication Failed: " + exception.getMessage());

        // 写入JSON到响应
        response.getWriter().write(objectMapper.writeValueAsString(errorResponse));
        response.getWriter().flush();
    }
}

然后在Spring Security配置类里替换默认的失败处理器：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            // ... 你的其他安全配置（比如登录过滤器、授权规则等）
            .formLogin()
                .failureHandler(new JsonAuthenticationFailureHandler()) // 替换成自定义处理器
                .and()
            // ... 其他配置
    }
}

这种方式不依赖任何容器特性，不管是Tomcat还是JBoss，都会返回你定义的JSON响应，兼容性最好。

2. 禁用JBoss的错误页面 fallback #

如果你坚持要用sendError()，可以通过JBoss的专属配置，让它不处理401状态码的错误。在项目的WEB-INF/jboss-web.xml（如果没有就新建）里添加以下配置：

<jboss-web>
    <!-- 告诉JBoss不要为401错误转发到自带的HTML页面 -->
    <error-page>
        <error-code>401</error-code>
        <location>/</location> <!-- 指向一个存在但不会覆盖响应的路径，比如根路径 -->
    </error-page>
</jboss-web>

或者更直接地禁用所有错误页面 fallback：

<jboss-web>
    <context-param>
        <param-name>org.jboss.web.context.disableErrorPageFallback</param-name>
        <param-value>true</param-value>
    </context-param>
</jboss-web>

不过这个方法是JBoss专属的，换其他容器可能需要调整，通用性不如第一种方法。

3. 配置Spring Boot的全局错误处理 #

你也可以利用Spring Boot的全局错误处理机制，比如用@ControllerAdvice捕获AuthenticationException，统一返回JSON响应：

@ControllerAdvice
public class GlobalExceptionHandler {

    @ExceptionHandler(AuthenticationException.class)
    @ResponseBody
    public ResponseEntity<Map<String, Object>> handleAuthenticationException(AuthenticationException e) {
        Map<String, Object> errorResponse = new HashMap<>();
        errorResponse.put("code", HttpStatus.UNAUTHORIZED.value());
        errorResponse.put("message", "Authentication Failed: " + e.getMessage());
        return new ResponseEntity<>(errorResponse, HttpStatus.UNAUTHORIZED);
    }
}

不过要注意，这种方式需要确保Spring Security的异常能被Spring的异常处理器捕获，可能需要调整异常传播的配置。

为什么本地Tomcat正常？ #

因为嵌入式Tomcat默认没有配置自定义的错误页面，当调用sendError()时，会直接返回你设置的错误信息；而JBoss AS/WildFly默认自带了一套错误页面模板，会拦截sendError()触发的状态码，替换成它自己的HTML页面，这就是差异的根源。

内容的提问来源于stack exchange，提问作者xLatency