Spring Boot RESTful服务：替换401为403屏蔽浏览器登录弹窗

我来帮你搞定这个问题！你现在遇到的核心问题是：你的自定义失败处理器只覆盖了表单登录的场景，但REST接口用的HTTP Basic认证走的是另一条处理链路，所以你的403设置根本没生效，还是会触发默认的401返回。

问题根源 #

当你在SecurityConfig里配置了.httpBasic()后，Spring Security会使用HttpBasicAuthenticationFilter来处理Basic认证请求。这个过滤器在认证失败时，会调用默认的BasicAuthenticationEntryPoint，它的行为就是返回401 Unauthorized并添加WWW-Authenticate: Basic响应头——而浏览器看到这个组合，就会自动弹出登录窗口。

你写的CustomAuthenticationFailureHandler只对.formLogin()的场景生效，对Basic认证完全没影响，这就是为什么你改了半天还是返回401。

解决方案：替换Basic认证的EntryPoint #

我们需要自定义一个BasicAuthenticationEntryPoint，让它在认证失败时返回403，并且不添加触发弹窗的响应头。

步骤1：创建自定义Basic认证入口点

@Component
public class CustomBasicAuthenticationEntryPoint extends BasicAuthenticationEntryPoint {

    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException {
        // 设置响应状态为403 Forbidden
        response.setStatus(HttpServletResponse.SC_FORBIDDEN);
        // 写入错误信息，注意不要添加WWW-Authenticate头
        response.getWriter().write("Authentication Failed: " + authException.getMessage());
        response.getWriter().flush();
    }
}

步骤2：修改SecurityConfig配置

把自定义的EntryPoint绑定到httpBasic配置上，替换默认的处理逻辑：

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    //...
    @Autowired
    CustomAuthenticationFailureHandler authenticationFailureHandler;
    
    @Autowired
    CustomBasicAuthenticationEntryPoint customBasicAuthenticationEntryPoint;
    //...
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .formLogin()
                .failureHandler(authenticationFailureHandler)
                .permitAll()
                .and()
            .httpBasic()
                .authenticationEntryPoint(customBasicAuthenticationEntryPoint) // 替换默认EntryPoint
                .and()
            .csrf()
                .disable();
    }
}

关键注意点 #

• 不要在403响应中添加WWW-Authenticate头：这是浏览器弹出登录窗口的触发条件，403状态码本身不需要这个头，所以我们的自定义EntryPoint里完全不设置它。
• 区分认证场景：如果你的前端同时用到表单登录和REST Basic认证，现在的配置会分别处理两种场景的失败——表单登录失败走你原来的failureHandler返回403，REST Basic认证失败走自定义EntryPoint返回403，完美解决弹窗问题。

内容的提问来源于stack exchange，提问作者switch87