Maven项目中Struts 2整合Spring Security登录异常求助

这种情况我之前整合Struts2和Spring Security的时候也踩过不少坑，登录页能正常显示说明前端和基础配置没问题，但输入正确账号密码出异常，大概率是两者的流程衔接、配置匹配或者认证逻辑出了问题，咱们一步步来排查：

1. 检查Web.xml中的过滤器顺序 #

Spring Security的过滤器必须在Struts2的核心过滤器之前执行，因为认证是请求处理的前置环节。如果顺序反了，Struts2会先拦截请求，导致Spring Security的认证流程无法触发。

正确的web.xml配置示例：

<!-- Spring Security 过滤器必须放在最前面 -->
<filter>
    <filter-name>springSecurityFilterChain</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>
<filter-mapping>
    <filter-name>springSecurityFilterChain</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

<!-- Struts2 核心过滤器 -->
<filter>
    <filter-name>struts2</filter-name>
    <filter-class>org.apache.struts2.dispatcher.filter.StrutsPrepareAndExecuteFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>struts2</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

2. 确认登录表单与Spring Security的配置匹配 #

两点关键匹配： #

• 表单的action属性必须和Spring Security配置的login-processing-url完全一致
• 用户名/密码的输入框name属性要和Spring Security的默认参数名（或配置的参数名）匹配

示例配置：

spring-security.xml 中的登录配置

<security:form-login 
    login-page="/login.jsp" 
    login-processing-url="/doLogin" <!-- 这里是认证请求的路径 -->
    default-target-url="/home" 
    authentication-failure-url="/login.jsp?error=true"/>

login.jsp 中的表单

<form action="${pageContext.request.contextPath}/doLogin" method="post">
    <input type="text" name="username"/> <!-- 默认参数名是username -->
    <input type="password" name="password"/> <!-- 默认参数名是password -->
    <button type="submit">登录</button>
</form>

如果你的表单用了自定义参数名（比如userName），需要在spring-security.xml中显式配置：

<security:form-login 
    ...
    username-parameter="userName"
    password-parameter="passWord"/>

3. 检查UserDetailsService的实现是否正确 #

Spring Security的认证核心依赖UserDetailsService，你的服务类必须正确实现这个接口，确保：

• 能根据用户名查询到正确的用户信息
• 正确转换用户角色为GrantedAuthority集合
• 返回的UserDetails对象包含正确的密码（注意密码必须是加密后的字符串，和配置的密码编码器匹配）

示例实现：

@Service("customUserDetailsService")
public class CustomUserDetailsService implements UserDetailsService {

    @Autowired
    private UserService userService;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 从数据库查询用户
        User user = userService.getUserByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException("用户不存在");
        }
        // 转换角色为Spring Security的权限对象
        List<GrantedAuthority> authorities = user.getRoles().stream()
                .map(role -> new SimpleGrantedAuthority(role.getRoleName()))
                .collect(Collectors.toList());
        // 返回Spring Security标准的User对象
        return new org.springframework.security.core.userdetails.User(
                user.getUsername(),
                user.getPassword(), // 这里必须是加密后的密码
                authorities
        );
    }
}

同时要确保Spring Security配置了对应的密码编码器：

<security:authentication-manager>
    <security:authentication-provider user-service-ref="customUserDetailsService">
        <security:password-encoder ref="passwordEncoder"/>
    </security:authentication-provider>
</security:authentication-manager>

<!-- 示例：BCrypt密码编码器 -->
<bean id="passwordEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder"/>

4. 确认Struts2 Action被Spring容器托管 #

如果你的登录Action是Struts2管理的对象，需要确保它被Spring容器托管，否则无法正确获取Spring Security的认证上下文。

两种方式： #

• 在struts.xml中配置Action时，指定class为Spring的Bean ID：

<action name="home" class="homeActionBean"> <!-- homeActionBean是Spring中托管的Bean -->
    <result name="success">/home.jsp</result>
</action>

• 给Action类添加@Component注解，让Spring扫描并托管：

@Component("homeActionBean")
public class HomeAction extends ActionSupport {
    // ...
}

5. 优先查看异常日志定位问题 #

上面的排查都是通用思路，最准确的方式是看控制台输出的异常栈信息：

• 如果是BadCredentialsException：密码不匹配，检查数据库密码是否加密、密码编码器是否配置正确
• 如果是UsernameNotFoundException：用户查询失败，检查DAO的查询逻辑是否正确
• 如果是NoSuchBeanDefinitionException：Spring容器找不到对应的Bean，检查组件扫描、Bean配置是否正确

内容的提问来源于stack exchange，提问作者Saad Ouazani