自定义AuthenticationProvider及登录页提交返回403问题求助

这种情况我之前排查过好几次，大概率是自定义登录页的配置细节和Spring Security的默认规则没对齐，导致认证流程根本没走到你的自定义Provider就被拦截了。下面是几个最常见的原因和对应的解决步骤：

1. 先检查CSRF防护（最容易踩坑） #

Spring Security默认强制开启CSRF防护，如果你自定义登录表单里没提交CSRF令牌，点击提交后直接就会返回403，连认证流程都不会启动。

• 解决办法：在你的登录表单里加上隐藏的CSRF令牌字段：

  <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/>
  

• 要是你只是测试阶段想临时绕开（生产环境绝对不推荐这么做），可以在SecurityFilterChain里关闭CSRF：

  @Bean
  public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
      http
          // 其他配置...
          .csrf(csrf -> csrf.disable());
      return http.build();
  }
  

2. 核对登录表单的参数名 #

Spring Security默认认的用户名参数是username，密码是password，如果你的表单里用了别的名字（比如userName、pwd），系统拿不到正确的凭证，就会直接返回403，而且不会触发你的自定义Provider。

• 要么把表单里的input name改成username和password，要么在配置里指定你的自定义参数名：

  @Bean
  public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
      http
          .formLogin(form -> form
              .loginPage("/your-login-page") // 你的自定义登录页路径
              .usernameParameter("your-custom-user-field") // 替换成你表单里的用户名参数名
              .passwordParameter("your-custom-pwd-field") // 替换成你表单里的密码参数名
              .loginProcessingUrl("/do-login") // 表单提交的目标路径，要和form的action一致
          );
      return http.build();
  }
  

3. 确认表单的提交路径和请求方式 #

• 首先，表单的action必须和你配置的loginProcessingUrl完全一致，而且请求方式必须是POST（Spring Security默认只接受POST请求处理登录）。
• 举个例子，如果配置里写的是.loginProcessingUrl("/authenticate")，那表单代码就得是：

  <form action="/authenticate" method="post">
      <!-- 用户名、密码、CSRF令牌字段 -->
  </form>
  

4. 检查自定义AuthenticationProvider的注册 #

虽然官方示例里能正常调用，但切换配置后有可能Provider没被正确注册到Spring Security的认证管理器里。

• 确保你把自定义Provider注册成Bean，并且让SecurityFilterChain用上它：

  @Bean
  public AuthenticationProvider customAuthenticationProvider() {
      return new YourCustomAuthenticationProvider(); // 你的自定义Provider类
  }
  
  @Bean
  public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
      http
          .authenticationProvider(customAuthenticationProvider()) // 显式指定使用自定义Provider
          // 其他配置...
      return http.build();
  }
  

5. 排查权限规则是否拦截了登录请求 #

如果你的SecurityFilterChain里配置了过严的权限，把登录页或者登录处理路径给拦截了，也会返回403。

• 一定要确保登录相关路径允许匿名访问：

  @Bean
  public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
      http
          .authorizeHttpRequests(auth -> auth
              .requestMatchers("/your-login-page", "/do-login").permitAll() // 放行登录页和提交路径
              .anyRequest().authenticated()
          )
          .formLogin(form -> form
              .loginPage("/your-login-page")
              .loginProcessingUrl("/do-login")
          );
      return http.build();
  }
  

你按这个顺序排查，大概率是前两个原因导致的。先加CSRF令牌试试，这个是最常见的坑。

内容的提问来源于stack exchange，提问作者Riĥard Brugekĥaim