java - 如何让 Spring-Security 以 JSON 格式返回 401 响应？

Question

我有一个应用程序的 ReST API，其中包含 /api/ 下的所有 Controller ，这些都返回带有 @ControllerAdvice 的 JSON 响应，该响应处理所有要映射到的异常JSON 格式的结果。

从 spring 4.0 开始，这很好用 @ControllerAdvice 现在支持注释匹配。我无法解决的是如何为 401 - Unauthenticated 和 400 - Bad Request 响应返回 JSON 结果。

相反，Spring 只是将响应返回给将其呈现为 HTML 的容器(tomcat)。如何使用我的 @ControllerAdvice 使用的相同技术截取它并呈现 JSON 结果。

security.xml

<bean id="xBasicAuthenticationEntryPoint"
      class="com.example.security.XBasicAuthenticationEntryPoint">
  <property name="realmName" value="com.example.unite"/>
</bean>
<security:http pattern="/api/**"
               create-session="never"
               use-expressions="true">
  <security:http-basic entry-point-ref="xBasicAuthenticationEntryPoint"/>
  <security:session-management />
  <security:intercept-url pattern="/api/**" access="isAuthenticated()"/>
</security:http>

XBasicAuthenticationEntryPoint

public class XBasicAuthenticationEntryPoint extends BasicAuthenticationEntryPoint {
    @Override
    public void commence(HttpServletRequest request,
                         HttpServletResponse response,
                         AuthenticationException authException)
            throws IOException, ServletException {
        HttpServletResponse httpResponse = (HttpServletResponse) response;
        httpResponse.sendError(HttpServletResponse.SC_UNAUTHORIZED,
                               authException.getMessage());
    }
}

我可以通过使用 BasicAuthenticationEntryPoint 直接写入输出流来解决 401，但我不确定这是不是最好的方法。

public class XBasicAuthenticationEntryPoint extends BasicAuthenticationEntryPoint {

    private final ObjectMapper om;

    @Autowired
    public XBasicAuthenticationEntryPoint(ObjectMapper om) {
        this.om = om;
    }

    @Override
    public void commence(HttpServletRequest request,
                         HttpServletResponse response,
                         AuthenticationException authException)
            throws IOException, ServletException {
        HttpServletResponse httpResponse = (HttpServletResponse) response;
        httpResponse.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
        om.writeValue(httpResponse.getOutputStream(),
                      new ApiError(request.getRequestURI(),
                      HttpStatus.SC_UNAUTHORIZED,
                      "You must sign in or provide basic authentication."));
    }

}

虽然我还没有弄清楚如何处理 400，但我曾经尝试过一个 catch all Controller ，它确实有效，但似乎有时它会与我不想重新访问的其他 Controller 产生奇怪的冲突行为。

我的 ControllerAdvice 实现有一个 catch all ，如果 spring 为错误请求 (400) 抛出任何异常，它理论上应该捕获它，但它没有:

@ControllerAdvice(annotations = {RestController.class})
public class ApiControllerAdvisor {
    @ExceptionHandler(Throwable.class)
    public ResponseEntity<ApiError> exception(Throwable exception,
                                              WebRequest request,
                                              HttpServletRequest req) {
        ApiError err = new ApiError(req.getRequestURI(), exception);
        return new ResponseEntity<>(err, err.getStatus());
    }
}

Answer 1

实际上，几周前我发现自己问了同样的问题 - 正如 Dirk 在评论中指出的那样，@ControllerAdvice 只有在 Controller 方法中抛出异常时才会启动，因此不可避免地不会捕获所有东西(我实际上是在尝试解决 JSON 响应 404 错误的情况)。

我决定的解决方案，虽然不是完全令人愉快(希望如果你得到更好的答案，我会改变我的方法)是处理 Web.xml 中的错误映射 - 我添加了以下内容，这将覆盖 tomcat 默认错误具有特定 URL 映射的页面:

<error-page>
    <error-code>404</error-code>
    <location>/errors/resourcenotfound</location>
</error-page>
<error-page>
    <error-code>403</error-code>
    <location>/errors/unauthorised</location>
</error-page>
<error-page>
    <error-code>401</error-code>
    <location>/errors/unauthorised</location>
</error-page>

现在，如果任何页面返回 404，它会由我的错误 Controller 处理，如下所示:

@Controller
@RequestMapping("/errors")
public class ApplicationExceptionHandler {


    @ResponseStatus(HttpStatus.NOT_FOUND)
    @RequestMapping("resourcenotfound")
    @ResponseBody
    public JsonResponse resourceNotFound(HttpServletRequest request, Device device) throws Exception {
        return new JsonResponse("ERROR", 404, "Resource Not Found");
    }

    @ResponseStatus(HttpStatus.UNAUTHORIZED)
    @RequestMapping("unauthorised")
    @ResponseBody
    public JsonResponse unAuthorised(HttpServletRequest request, Device device) throws Exception {
        return new JsonResponse("ERROR", 401, "Unauthorised Request");
    }
}

这一切仍然让人感觉很严峻——当然是对错误的全局处理——所以如果你不总是希望 404 响应是 json(如果你正在为同一个应用程序的普通 webapp 提供服务)那么它就不会工作得很好。但就像我说的，这是我决定搬家的原因，希望有更好的方法!