Spring Security OAuth2数据库配置下Bad Credentials错误排查

我来帮你梳理下这个凭证错误的排查方向，这类问题大多和密码编码、用户数据匹配或者配置一致性有关，咱们一步步来检查：

1. 确保密码编码器的一致性 #

你在SecurityConfiguration里配置了passwordEncoder(getPasswordEncoder())，这是关键环节：

• 首先要确认数据库中存储的用户密码，是用同一个编码器加密后的结果。比如如果你的getPasswordEncoder()返回的是BCryptPasswordEncoder，那存储密码时必须调用BCryptPasswordEncoder.encode("原始密码")生成加密串，不能直接存明文或者用其他加密方式的结果。
• 检查getPasswordEncoder()的实现，确保它返回的是正确的实例，比如：

  private PasswordEncoder getPasswordEncoder() {
      return new BCryptPasswordEncoder();
  }
  

  编码器不匹配是导致Bad Credentials最常见的原因之一。

2. 验证CustomUserDetailsService的正确性 #

CustomUserDetailsService负责从数据库加载用户信息，这里容易出问题：

• 确认loadUserByUsername()方法返回的UserDetails对象中，密码字段和数据库存储的加密密码完全一致（注意大小写、特殊字符等细节）。
• 可以在测试环境给这个方法加个日志，打印查询到的用户密码，验证是否取到了正确的数据：

  @Override
  public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
      User user = userRepository.findByUsername(username);
      if (user == null) {
          throw new UsernameNotFoundException("User not found: " + username);
      }
      // 测试用日志，生产环境务必删除
      System.out.println("Loaded user: " + username + ", stored password: " + user.getPassword());
      return new org.springframework.security.core.userdetails.User(
          user.getUsername(),
          user.getPassword(),
          getAuthorities(user.getRoles())
      );
  }
  

3. 检查OAuth2授权服务器的配置一致性 #

如果你是自行搭建的授权服务器（基于AuthorizationServerConfigurerAdapter），要确保授权服务的配置也使用了同一个密码编码器：

• 比如在客户端详情配置中，密码编码器要和SecurityConfiguration里的保持一致：

  @Override
  public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
      clients.jdbc(dataSource)
          .passwordEncoder(getPasswordEncoder()); // 这里的编码器必须和SecurityConfig中的一致
  }
  

4. 排查请求端的细节 #

• 确认前端发送的用户名、密码没有拼写错误，尤其是用户名是否区分大小写（取决于你的数据库查询逻辑）。
• 如果是表单登录场景，检查表单字段的name属性是否为username和password——Spring Security默认会读取这两个字段，要是自定义了字段名，需要在HttpSecurity配置中指定：

  @Override
  protected void configure(HttpSecurity http) throws Exception {
      http.formLogin()
          .usernameParameter("custom-username") // 如果用了自定义字段名
          .passwordParameter("custom-password");
  }
  

另外你提供的SecurityConfiguration代码不完整（configure(HttpSecurity)部分缺失），如果后续排查还是有问题，可以补充这部分代码，方便进一步定位。

内容的提问来源于stack exchange，提问作者shirafuno