Spring Security配置中用Setter替代new JWTAuthenticationFilter的实现问题

一、正确配置JWTAuthenticationFilter的注入方式（避免直接new） #

你想要替换new JWTAuthenticationFilter(authenticationManager())为Autowired实例的调用，核心是让Spring管理JWTAuthenticationFilter的生命周期，同时正确注入AuthenticationManager依赖。这里推荐两种方案，优先选构造方法注入的最佳实践：

方案1：构造方法注入（推荐） #

这种方式能确保Filter创建时就拿到必需的AuthenticationManager，避免空指针风险：

1. 在SecurityConfig中暴露AuthenticationManager为Bean
   WebSecurityConfigurerAdapter的authenticationManager()默认不是Spring Bean，需要显式暴露：

   @Configuration
   @EnableWebSecurity
   @EnableGlobalMethodSecurity(prePostEnabled = true)
   public class SecurityConfig extends WebSecurityConfigurerAdapter {
   
       // 暴露AuthenticationManager为Spring Bean
       @Bean
       @Override
       public AuthenticationManager authenticationManagerBean() throws Exception {
           return super.authenticationManagerBean();
       }
   
       // ...其他配置
   }
   

2. 将JWTAuthenticationFilter声明为Spring组件，并通过构造方法注入AuthenticationManager

   @Component // 让Spring管理这个Filter的实例
   public class JWTAuthenticationFilter extends UsernamePasswordAuthenticationFilter {
   
       private final AuthenticationManager authenticationManager;
   
       // 构造方法注入依赖，Spring会自动找到上面暴露的AuthenticationManager Bean
       public JWTAuthenticationFilter(AuthenticationManager authenticationManager) {
           this.authenticationManager = authenticationManager;
           // 可选：设置该Filter处理的登录URL，比如setFilterProcessesUrl("/login");
       }
   
       // 实现你的attemptAuthentication、successfulAuthentication等核心方法
   }
   

3. 在SecurityConfig中直接Autowired并使用Filter

   @Autowired
   private JWTAuthenticationFilter jwtAuthenticationFilter;
   
   @Override
   protected void configure(HttpSecurity http) throws Exception {
       // ...你的其他csrf、session管理、授权规则配置
       http.addFilter(jwtAuthenticationFilter); // 直接使用Spring注入的实例，无需new
   }
   

方案2：Setter链式调用（如果你坚持要类似SetJWTAuthenticationFilter的写法） #

如果非要用链式设置的方式，可以给Filter加一个setter方法，返回自身支持链式调用：

@Component
public class JWTAuthenticationFilter extends UsernamePasswordAuthenticationFilter {

    private AuthenticationManager authenticationManager;

    // 空构造方法让Spring创建实例
    public JWTAuthenticationFilter() {}

    // 链式setter方法
    public JWTAuthenticationFilter setAuthenticationManager(AuthenticationManager authenticationManager) {
        this.authenticationManager = authenticationManager;
        return this; // 返回当前实例，支持链式调用
    }

    // ...其他核心方法
}

然后在SecurityConfig中调用：

@Autowired
private JWTAuthenticationFilter jwtAuthenticationFilter;

@Override
protected void configure(HttpSecurity http) throws Exception {
    // ...其他配置
    http.addFilter(jwtAuthenticationFilter.setAuthenticationManager(authenticationManagerBean()));
}

不过这种方式不如构造方法注入可靠，因为依赖可能在Filter使用时还未设置，容易引发空指针。

二、CustomAuthManager返回null导致认证失败的解决办法 #

你的CustomAuthManager的authenticate方法返回null是完全错误的——Spring Security要求这个方法必须：

• 认证成功时：返回一个已标记为认证通过的Authentication对象（比如UsernamePasswordAuthenticationToken），包含用户的权限信息
• 认证失败时：抛出AuthenticationException的子类（比如BadCredentialsException、UsernameNotFoundException）

正确实现CustomAuthManager（自定义认证逻辑） #

假设你已经有UserDetailsService用来加载用户信息，还有PasswordEncoder用来验证密码，实现如下：

@Configuration
public class CustomAuthManager implements AuthenticationManager {

    private final UserDetailsService userDetailsService;
    private final PasswordEncoder passwordEncoder;

    // 注入依赖
    public CustomAuthManager(UserDetailsService userDetailsService, PasswordEncoder passwordEncoder) {
        this.userDetailsService = userDetailsService;
        this.passwordEncoder = passwordEncoder;
    }

    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        String username = authentication.getName();
        String rawPassword = authentication.getCredentials().toString();

        // 1. 加载用户信息
        UserDetails user = userDetailsService.loadUserByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException("User not found: " + username);
        }

        // 2. 验证密码
        if (!passwordEncoder.matches(rawPassword, user.getPassword())) {
            throw new BadCredentialsException("Invalid password");
        }

        // 3. 返回已认证的Authentication对象
        return new UsernamePasswordAuthenticationToken(
                user,
                null, // 凭证可以设为null，因为已经验证通过
                user.getAuthorities() // 用户的权限集合
        );
    }
}

更简单的方案：使用Spring Security默认的AuthenticationManager #

如果你不需要自定义认证逻辑，其实完全不用自己实现AuthenticationManager，只需在SecurityConfig中配置UserDetailsService和PasswordEncoder即可：

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    // 声明密码编码器Bean
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    // 配置认证逻辑
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }

    // ...其他HttpSecurity配置
}

这样Spring Security会自动创建DaoAuthenticationProvider，并生成正确的AuthenticationManager来处理认证，无需你自己实现。

内容的提问来源于stack exchange，提问作者dEs12ZER