Spring Security中如何捕获Crowd SimpleAuthenticationManager的认证异常？

首先得明确：你之前用的AccessDeniedHandler是用来处理授权失败（比如用户已登录但没有对应权限）的场景，而你遇到的是认证阶段的异常（Crowd的SimpleAuthenticationManager抛出的那些），这时候得用AuthenticationFailureHandler来处理才对。

下面是具体的实现步骤：

1. 自定义AuthenticationFailureHandler #

创建一个类实现AuthenticationFailureHandler接口，在onAuthenticationFailure方法里，你可以直接获取到Crowd抛出的原始异常（通过exception参数），然后根据异常类型构建对应的JSON响应返回给客户端。

示例代码：

import org.springframework.security.core.AuthenticationException;
import org.springframework.security.web.authentication.AuthenticationFailureHandler;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import com.fasterxml.jackson.databind.ObjectMapper;

public class CrowdAuthenticationFailureHandler implements AuthenticationFailureHandler {

    private final ObjectMapper objectMapper = new ObjectMapper();

    @Override
    public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException {
        // 设置响应内容类型为JSON
        response.setContentType("application/json;charset=UTF-8");
        response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);

        // 根据Crowd的不同异常类型返回对应信息
        String errorMessage;
        if (exception instanceof com.atlassian.crowd.exception.InvalidAuthenticationException) {
            errorMessage = "用户名或密码错误";
        } else if (exception instanceof com.atlassian.crowd.exception.AccountNotFoundException) {
            errorMessage = "用户不存在";
        } else if (exception instanceof com.atlassian.crowd.exception.AccountLockedException) {
            errorMessage = "账户已锁定";
        } else {
            errorMessage = "认证失败：" + exception.getMessage();
        }

        // 构建响应体并写入
        ErrorResponse errorResponse = new ErrorResponse(errorMessage);
        response.getWriter().write(objectMapper.writeValueAsString(errorResponse));
    }

    // 定义一个简单的错误响应DTO
    private static class ErrorResponse {
        private String message;

        public ErrorResponse(String message) {
            this.message = message;
        }

        public String getMessage() {
            return message;
        }
    }
}

2. 在Spring Security配置中注册并使用这个Handler #

在你的SecurityConfig类里，把自定义的CrowdAuthenticationFailureHandler配置到HttpSecurity中，替换默认的认证失败处理逻辑：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.security.web.authentication.AuthenticationFailureHandler;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public AuthenticationFailureHandler crowdAuthenticationFailureHandler() {
        return new CrowdAuthenticationFailureHandler();
    }

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .failureHandler(crowdAuthenticationFailureHandler()) // 配置自定义失败处理器
            )
            // 如果你用的是HTTP Basic认证，也要配置对应的失败处理器
            .httpBasic(basic -> basic
                .authenticationEntryPoint((request, response, authException) -> {
                    // 这里可以复用上面的failureHandler逻辑，或者单独处理Basic认证的失败
                    crowdAuthenticationFailureHandler().onAuthenticationFailure(request, response, authException);
                })
            );

        return http.build();
    }

    // 这里还要配置你的Crowd SimpleAuthenticationManager作为认证提供者
    // ... 省略你的Crowd相关配置代码
}

关键说明 #

• AuthenticationFailureHandler专门处理认证过程中抛出的AuthenticationException及其子类，包括Crowd抛出的各种认证异常，能直接拿到原始异常信息。
• 如果你使用的是无状态的认证方式（比如JWT），需要确保在认证过滤器（比如UsernamePasswordAuthenticationFilter）中也配置这个失败处理器。
• 可以根据业务需求扩展ErrorResponse，添加错误码、时间戳等更多字段，让响应更规范。

内容的提问来源于stack exchange，提问作者binarylegit