处理Spring Security异常 | Baeldung中文网

1. 概述

在这篇文章中，我们将探讨如何处理由Spring Security资源服务器产生的异常。我们将通过一个实际示例来说明，其中将详细解释所有必要的配置。首先，我们来简要介绍一下Spring Security。

2. Spring Security

Spring Security是Spring项目的一部分，它旨在将Spring项目中用户访问控制的所有功能整合在一起。访问控制允许限制给定用户组或角色在应用中执行的操作。在这方面，Spring Security控制对业务逻辑的调用或限制HTTP请求对特定URL的访问。因此，我们需要配置应用程序，告诉Spring Security安全层应该如何行为。

在我们的例子中，我们将专注于异常处理器的配置。Spring Security提供了三种不同的接口来实现这一目标并控制产生的事件：

认证成功处理器
认证失败处理器
访问被拒绝处理器

接下来，让我们深入了解配置。

3. 安全配置

首先，我们有一个配置类，它需要创建一个SecurityFilterChain bean，负责管理应用的所有安全配置。在这里，我们需要引入我们的处理器。

一方面，我们定义所需的配置：


 @Bean
 public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
      http.csrf(AbstractHttpConfigurer::disable)
          .httpBasic(AbstractHttpConfigurer::disable)
          .authorizeHttpRequests(auth -> auth
          .requestMatchers("/login")
          .permitAll()
          .requestMatchers("/customError")
          .permitAll()
          .requestMatchers("/access-denied")
          .permitAll()
          .requestMatchers("/secured")
          .hasRole("ADMIN")
          .anyRequest()
          .authenticated())
          .formLogin(form -> form.failureHandler(authenticationFailureHandler())
                    .successHandler(authenticationSuccessHandler()))
                    .exceptionHandling(ex -> ex.accessDeniedHandler(accessDeniedHandler()))
          .logout(Customizer.withDefaults());
      return http.build();
    }
}

值得注意的是，如"/login"、"/customError"和"/access-denied"这样的重定向URL无需任何访问限制，所以我们将其标记为permitAll()。

另一方面，我们需要定义处理不同类型的异常的Bean：

@Bean
public AuthenticationFailureHandler authenticationFailureHandler() {
    return new CustomAuthenticationFailureHandler();
} 

@Bean
public AuthenticationSuccessHandler authenticationSuccessHandler() {
   return new CustomAuthenticationSuccessHandler();
}

@Bean
public AccessDeniedHandler accessDeniedHandler() {
   return new CustomAccessDeniedHandler();
}

由于AuthenticationSuccessHandler负责处理登录成功的路径，我们将为异常情况定义另外两个Bean。这两个处理器是我们现在需要根据需求调整和实现的。现在，让我们分别实现它们。

4. 认证失败处理器

首先，我们有AuthenticationFailureHandler接口，它负责管理用户登录失败时产生的异常。该接口提供了onAuthenticationFailure()方法，用于自定义处理器逻辑。当登录尝试失败时，Spring Security会调用这个方法。因此，让我们定义一个异常处理器，当登录失败时将用户重定向到错误页面：

public class CustomAuthenticationFailureHandler implements AuthenticationFailureHandler {

    @Override
    public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) 
      throws IOException {
        response.sendRedirect("/customError");
    }
}

5. 访问被拒绝处理器

另一方面，当未授权用户试图访问受保护的页面时，Spring Security会抛出一个访问被拒绝的异常。Spring Security提供了一个默认的403访问被拒绝页面，我们可以定制。这由AccessDeniedHandler接口管理。此外，它还提供了handle()方法，以便在将用户重定向到403页面之前自定义逻辑：

public class CustomAccessDeniedHandler implements AccessDeniedHandler {

    @Override
    public void handle(HttpServletRequest request, HttpServletResponse response, AccessDeniedException exc) throws IOException {
        response.sendRedirect("/access-denied");
    }
}

6. 总结

在这篇简短的文章中，我们了解了如何处理Spring Security异常以及如何通过创建和定制我们的类来控制它们。此外，我们创建了一个完整的功能性示例，帮助我们理解所讲解的概念。

本文的完整源代码可以在GitHub上找到：点击此处获取。

Persistence

REST

Security