Spring Webflux如何移除WWW-authenticate响应头？

首先明确：你确实可以通过自定义WebFilter实现需求，不过也有更贴合Spring Security生态的配置方式，我给你两种方案参考：

方案1：自定义WebFilter拦截并移除响应头 #

这种方法比较直接，不管是Spring Security还是其他组件添加的响应头，都能在最后一步过滤掉。

实现WebFilter接口，在响应发送前检查状态码是否为401，如果是就移除www-authenticate头：

import org.springframework.http.HttpStatus;
import org.springframework.stereotype.Component;
import org.springframework.web.server.ServerWebExchange;
import org.springframework.web.server.WebFilter;
import org.springframework.web.server.WebFilterChain;
import reactor.core.publisher.Mono;

@Component
public class RemoveWwwAuthenticateFilter implements WebFilter {

    @Override
    public Mono<Void> filter(ServerWebExchange exchange, WebFilterChain chain) {
        return chain.filter(exchange)
                .doOnSuccess(aVoid -> {
                    if (exchange.getResponse().getStatusCode() == HttpStatus.UNAUTHORIZED) {
                        exchange.getResponse().getHeaders().remove("www-authenticate");
                    }
                });
    }
}

给这个类加上@Component注解注册成Spring组件，它就会自动生效，拦截所有响应并处理401的情况。

方案2：通过Spring Security配置自定义认证失败响应 #

这种方法更精准，直接从Spring Security的认证流程里阻止添加这个头，不需要全局过滤。

在你的Webflux Security配置类里，自定义AuthenticationEntryPoint，返回401但不设置www-authenticate头：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.http.HttpStatus;
import org.springframework.security.config.web.server.ServerHttpSecurity;
import org.springframework.security.web.server.SecurityWebFilterChain;
import org.springframework.security.web.server.authentication.HttpStatusServerEntryPoint;

@Configuration
public class SecurityConfig {

    @Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
        http
            .authorizeExchange(exchanges -> exchanges
                .anyExchange().authenticated()
            )
            .httpBasic(httpBasic -> httpBasic
                // 自定义认证失败的处理逻辑
                .authenticationEntryPoint(new HttpStatusServerEntryPoint(HttpStatus.UNAUTHORIZED))
            );
        return http.build();
    }
}

这里用HttpStatusServerEntryPoint直接返回401状态码，它不会添加www-authenticate响应头，正好符合你的需求。

两种方案对比 #

• 方案1：全局生效，适合需要对所有401响应统一处理的场景，不管这个401是来自Spring Security还是其他业务逻辑。
• 方案2：只针对Spring Security认证失败的场景，更贴合安全配置的逻辑，不会影响其他地方的401响应。

你可以根据自己的实际需求选择其中一种~

内容的提问来源于stack exchange，提问作者Dachstein