Spring Security管控WebSocket订阅权限时，前端无法收到订阅失败通知的问题排查

看起来你碰到了Spring Security处理WebSocket权限时的常见坑——后端明明抛出了AccessDeniedException，但前端的订阅错误回调完全没触发。核心原因是Spring Security默认的权限拦截器不会把授权失败的异常转化为STOMP协议要求的ERROR帧返回给客户端，咱们一步步来解决：

1. 先搞懂为什么前端收不到错误 #

Spring Security的AuthorizationChannelInterceptor在拦截到未授权的WebSocket消息时，只会抛出AccessDeniedException，但StompSubProtocolHandler遇到这种异常时，默认只会在后端打日志，不会主动构造一个STOMP ERROR帧推送给前端。这就导致前端订阅请求“石沉大海”，既没收到订阅成功的确认，也没收到失败通知。

2. 自定义拦截器处理授权失败的情况 #

你需要自定义一个权限拦截器，继承AuthorizationChannelInterceptor，重写handleAuthorizationFailure方法，把授权失败的异常转化为STOMP ERROR消息发送给客户端：

import org.springframework.messaging.Message
import org.springframework.messaging.MessageChannel
import org.springframework.messaging.support.ErrorMessage
import org.springframework.security.access.AccessDeniedException
import org.springframework.security.messaging.access.intercept.AuthorizationChannelInterceptor
import org.springframework.security.messaging.access.intercept.AuthorizationDecision
import org.springframework.security.messaging.access.intercept.AuthorizationManager

class StompAuthorizationChannelInterceptor(
    authorizationManager: AuthorizationManager<Message<*>>
) : AuthorizationChannelInterceptor(authorizationManager) {

    override fun handleAuthorizationFailure(
        decision: AuthorizationDecision,
        message: Message<*>,
        channel: MessageChannel
    ): Message<*>? {
        if (!decision.isGranted) {
            // 构造包含权限拒绝信息的ERROR消息
            val errorMessage = ErrorMessage(
                AccessDeniedException("Permission denied for destination: ${message.headers["simpDestination"]}"),
                message.headers
            )
            // 发送错误消息回客户端
            channel.send(errorMessage)
            // 返回null，阻止原未授权消息继续处理
            return null
        }
        return super.handleAuthorizationFailure(decision, message, channel)
    }
}

3. 替换默认的拦截器 #

接下来要把这个自定义拦截器配置到你的WebSocket消息通道里，替换掉默认的AuthorizationChannelInterceptor：

如果是通过WebSocket配置类（实现WebSocketMessageBrokerConfigurer）配置，可这样写：

@Configuration
@EnableWebSocketMessageBroker
class WebSocketConfig : WebSocketMessageBrokerConfigurer {

    @Autowired
    lateinit var messageAuthorizationManager: AuthorizationManager<Message<*>>

    override fun configureClientInboundChannel(registration: ChannelRegistration) {
        // 添加自定义拦截器，确保优先级高于默认拦截器
        registration.interceptors(
            StompAuthorizationChannelInterceptor(messageAuthorizationManager)
        )
    }

    // 你的其他WebSocket配置逻辑...
}

如果是通过Spring Security的SecurityFilterChain配置WebSocket权限，可这样替换：

@Bean
fun securityFilterChain(http: HttpSecurity): SecurityFilterChain {
    http
        .authorizeHttpRequests { auth ->
            // 你的HTTP权限配置...
        }
        .websocket { ws ->
            ws.authorizeMessages { messages ->
                messages
                    .simpTypeMatchers(SimpMessageType.CONNECT, SimpMessageType.DISCONNECT).permitAll()
                    .simpDestMatchers("/topic/greetings", "/app/hello").authenticated()
                    .simpDestMatchers("/topic/status", "/app/status").permitAll()
                    .anyMessage().authenticated()
            }
            // 替换默认的权限拦截器
            ws.interceptors(StompAuthorizationChannelInterceptor(messageAuthorizationManager))
        }
    return http.build()
}

4. 前端验证回调逻辑 #

最后再确认下你的前端代码：你的onError回调写法是对的，但要确保client实例已经正确建立STOMP连接，订阅操作是在连接成功后执行的。另外，也可以监听STOMP客户端的全局错误事件兜底：

client.onStompError = (frame) => {
    console.error('Global STOMP error:', frame.headers.message);
    // 这里也能捕获到权限失败的错误提示
};

这样调整后，当下次前端未授权订阅/topic/greetings时，就能触发onError回调，收到明确的权限拒绝提示了。

备注：内容来源于stack exchange，提问作者Jackie