Spring Security登录异常：不存在用户名/空字段触发内部错误

我来帮你分析下这个问题：你遇到的这个内部错误，根源出在UserDetailServiceConfig的loadUserByUsername方法里。

当输入不存在的用户名或者空字段时，你的userInfoDAO.getActiveUser(userName)应该返回了null，但你的代码没有做任何判断就直接调用activeUserInfo.getRole()——这要么会触发空指针，要么如果getActiveUser返回了一个role为空的对象，创建SimpleGrantedAuthority时就会触发Spring的断言检查（因为SimpleGrantedAuthority要求权限字符串必须是非空非空白的），最终抛出IllegalArgumentException，并被Spring Security包装成InternalAuthenticationServiceException。

更关键的是，你没有遵循UserDetailsService的规范：在用户不存在时应该抛出UsernameNotFoundException，这样Spring Security才能正确处理“用户不存在”这种正常的认证失败场景，而不是当成内部错误处理。

修复步骤 #

1. 修改UserDetailServiceConfig的loadUserByUsername方法，添加用户存在性检查和权限有效性检查，并且在用户不存在时抛出规范的异常：

@Override
public UserDetails loadUserByUsername(String userName) throws UsernameNotFoundException {
    UserInfo activeUserInfo = userInfoDAO.getActiveUser(userName);
    
    // 检查用户是否存在
    if (activeUserInfo == null) {
        throw new UsernameNotFoundException("用户不存在：" + userName);
    }
    
    // 检查用户角色是否有效（非空非空白）
    String userRole = activeUserInfo.getRole();
    if (userRole == null || userRole.trim().isEmpty()) {
        throw new UsernameNotFoundException("用户未分配有效角色");
    }
    
    GrantedAuthority authority = new SimpleGrantedAuthority(userRole);
    UserDetails userDetails = new User(
        activeUserInfo.getUserName(), 
        activeUserInfo.getPassword(), 
        Collections.singletonList(authority)
    );
    return userDetails;
}

2. 优化前端登录页面的错误提示，在你的Thymeleaf登录模板里添加错误提示区域（利用Spring Security自动传递的error参数）：

<div th:if="${param.error}" class="alert alert-danger">
    用户名或密码错误，请重试。
</div>

修复逻辑说明 #

• 抛出UsernameNotFoundException是UserDetailsService的标准做法，Spring Security会捕获这个异常，并将认证失败的状态传递给前端，而不是触发内部错误日志。
• 添加角色有效性检查，避免因为用户数据异常（比如role为空）导致的另一种内部错误场景。
• 前端的错误提示能让用户得到清晰的反馈，而不是看到模糊的错误页面。

内容的提问来源于stack exchange，提问作者Kaushik