Spring Boot+AngularJS中HttpBasic认证失败/会话过期重定向问题求助

嘿，我来帮你搞定这个问题！你遇到的浏览器反复弹出认证对话框的情况，其实是HttpBasic认证的默认特性在搞鬼——当Spring Security返回401 Unauthorized状态码时，浏览器会自动触发内置的用户名密码弹窗，完全忽略你想要的重定向逻辑。下面是一步步的解决办法：

1. 先搞懂问题根源 #

HttpBasic认证的默认机制就是这样：只要服务器返回401，浏览器就会弹出自带的认证框，这是浏览器的原生行为，和你的代码逻辑无关。要实现重定向，我们得把这个默认行为换掉，让服务器返回重定向响应（3xx状态码），而不是401。

2. 自定义认证失败处理器 #

我们需要写一个自定义的AuthenticationEntryPoint，用来替换Spring Security默认的处理逻辑。这里还要考虑AngularJS是单页应用，可能有AJAX请求，所以要区分普通请求和AJAX请求分别处理：

import org.springframework.security.core.AuthenticationException;
import org.springframework.security.web.AuthenticationEntryPoint;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

public class CustomAuthEntryPoint implements AuthenticationEntryPoint {
    private final String loginRedirectUrl;

    // 构造方法传入你的登录页URL
    public CustomAuthEntryPoint(String loginUrl) {
        this.loginRedirectUrl = loginUrl;
    }

    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException {
        // AngularJS发起AJAX请求时，通常会带上X-Requested-With: XMLHttpRequest的请求头
        boolean isAjaxRequest = "XMLHttpRequest".equals(request.getHeader("X-Requested-With"));
        
        if (isAjaxRequest) {
            // 对于AJAX请求，返回401但用JSON提示前端，让AngularJS自己处理跳转
            response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
            response.setContentType("application/json");
            response.getWriter().write("{\"message\":\"未授权或会话已过期，请重新登录\"}");
        } else {
            // 普通HTTP请求直接重定向到登录页
            response.sendRedirect(loginRedirectUrl);
        }
    }
}

3. 自定义会话过期处理器 #

针对会话过期的场景，我们还要配置InvalidSessionStrategy，确保会话失效时也能按我们的逻辑走：

import org.springframework.security.web.session.InvalidSessionStrategy;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

public class CustomInvalidSessionHandler implements InvalidSessionStrategy {
    private final String loginRedirectUrl;

    public CustomInvalidSessionHandler(String loginUrl) {
        this.loginRedirectUrl = loginUrl;
    }

    @Override
    public void onInvalidSessionDetected(HttpServletRequest request, HttpServletResponse response) throws IOException {
        boolean isAjaxRequest = "XMLHttpRequest".equals(request.getHeader("X-Requested-With"));
        
        if (isAjaxRequest) {
            response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
            response.setContentType("application/json");
            response.getWriter().write("{\"message\":\"会话已过期，请重新登录\"}");
        } else {
            response.sendRedirect(loginRedirectUrl);
        }
    }
}

4. 把自定义处理器配置到SecurityConfig里 #

现在把上面写的两个处理器加到你的SecurityConfiguration中，替换默认的逻辑：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

    // 替换成你实际的登录页URL，比如前端的/login路由或者后端的登录接口
    private static final String LOGIN_PAGE_URL = "/login";

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            // 配置权限规则：登录页和公共资源允许所有人访问，其他接口需要认证
            .authorizeRequests()
                .antMatchers(LOGIN_PAGE_URL, "/public/**").permitAll()
                .anyRequest().authenticated()
            .and()
            // 启用HttpBasic，但替换默认的认证入口点
            .httpBasic()
                .authenticationEntryPoint(new CustomAuthEntryPoint(LOGIN_PAGE_URL))
            .and()
            // 配置会话过期的处理策略
            .sessionManagement()
                .invalidSessionStrategy(new CustomInvalidSessionHandler(LOGIN_PAGE_URL))
            .and()
            // 如果你的AngularJS已经处理了CSRF，可以根据实际情况启用或禁用这里的CSRF保护
            .csrf().disable();
    }
}

5. AngularJS前端配合处理（可选但推荐） #

因为是单页应用，AJAX请求的401响应需要前端自己拦截并跳转。你可以在AngularJS里加一个HTTP拦截器，统一处理未授权的情况：

angular.module('yourAppName')
    .factory('authInterceptor', ['$location', function($location) {
        return {
            // 拦截响应错误
            responseError: function(response) {
                if (response.status === 401) {
                    // 跳转到前端的登录页面路由
                    $location.path('/login');
                }
                return response;
            }
        };
    }])
    .config(['$httpProvider', function($httpProvider) {
        // 把拦截器注册到$http服务中
        $httpProvider.interceptors.push('authInterceptor');
    }]);

这样配置完成后，不管是用户未认证访问受保护资源，还是会话过期，浏览器都不会再弹出那个烦人的默认认证框了——普通请求会直接跳转到你指定的登录页，AJAX请求则会由AngularJS前端处理跳转逻辑。

内容的提问来源于stack exchange，提问作者Kihats