Spring Boot + JWT：提供无效凭据时出现错误

我来帮你梳理排查这个无效凭据报错的问题，先从你给出的配置代码和常见问题点入手：

首先先把你提供的配置代码格式化一下，方便查看：

@EnableWebSecurity
@Configuration
class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    UserRepository userRepository;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable().authorizeRequests()
                .antMatchers("/").permitAll()
                .antMatchers(HttpMethod.POST, "/rest/login").permitAll()
                .anyRequest().authenticated()
                .and()
                // 看起来这里的JWT相关配置没写完？
    }
}

接下来分几个方向排查问题：

1. 先确认登录接口的凭据验证逻辑是否正确处理异常 #

你的/rest/login接口里，应该是通过AuthenticationManager来验证用户名密码的对吧？这个方法在凭据无效（用户名不存在/密码不匹配）时会抛出BadCredentialsException，如果没有捕获这个异常并处理，就会返回默认的错误响应（比如500或者不友好的401页面）。

建议你全局捕获这类异常，返回标准化的错误信息：

@RestControllerAdvice
public class GlobalExceptionHandler {
    @ExceptionHandler(BadCredentialsException.class)
    public ResponseEntity<Map<String, String>> handleBadCredentials(BadCredentialsException ex) {
        Map<String, String> errorResponse = new HashMap<>();
        errorResponse.put("code", "UNAUTHORIZED");
        errorResponse.put("message", "无效的用户名或密码");
        return ResponseEntity.status(HttpStatus.UNAUTHORIZED).body(errorResponse);
    }
}

2. 检查WebSecurity配置的完整性 #

你的配置代码看起来没写完，JWT认证需要几个关键配置：

• 必须暴露AuthenticationManager bean，这样登录接口才能调用它验证凭据：

  @Override
  @Bean
  public AuthenticationManager authenticationManagerBean() throws Exception {
      return super.authenticationManagerBean();
  }
  

• 要配置UserDetailsService和PasswordEncoder，确保从数据库获取的用户信息正确，且密码编码方式匹配：

  @Bean
  public PasswordEncoder passwordEncoder() {
      // 这里要和你存储用户密码时的编码方式一致，比如BCrypt
      return new BCryptPasswordEncoder();
  }
  
  @Autowired
  private CustomUserDetailsService userDetailsService;
  
  @Override
  protected void configure(AuthenticationManagerBuilder auth) throws Exception {
      auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
  }
  

3. 确认UserDetailsService的实现没有问题 #

你注入了UserRepository，但需要实现UserDetailsService来正确加载用户信息，比如：

@Service
public class CustomUserDetailsService implements UserDetailsService {
    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username)
                .orElseThrow(() -> new UsernameNotFoundException("用户不存在: " + username));
        // 注意这里返回的UserDetails要包含正确的密码（必须是加密后的）和权限
        return User.withUsername(user.getUsername())
                .password(user.getPassword())
                .authorities(user.getRoles().stream().map(SimpleGrantedAuthority::new).collect(Collectors.toList()))
                .build();
    }
}

如果这里返回的密码和PasswordEncoder的编码方式不匹配，也会触发无效凭据的错误。

4. 查看具体错误日志定位问题 #

当出现无效凭据请求时，一定要看控制台的错误栈信息：

• 如果是BadCredentialsException，那就是用户名/密码确实不匹配；
• 如果是Encoded password does not look like BCrypt，说明存储的密码编码和你配置的PasswordEncoder不一致；
• 如果是UsernameNotFoundException，说明数据库里找不到对应的用户。

内容的提问来源于stack exchange，提问作者Nalaka