java - UsernameNotFoundException 在 spring boot 中抛出 403

Question

我有一个 spring boot 项目。当使用不正确的用户凭据发出请求时:

catch (RuntimeException ex) {
        log.error("Error occurred while fetching user {}: {}", securityPrincipal, ex);
        throw new UsernameNotFoundException("Could not find user: " + securityPrincipal);
    }

但最终抛出的异常是 500。

通过一些链接后我发现:

 protected AbstractPreAuthenticatedProcessingFilter multiPreAuthenticatedProcessingFilter() throws Exception {

        MultiPreAuthenticatedProcessingFilter filter = new MultiPreAuthenticatedProcessingFilter();

        filter.setAuthenticationManager(authenticationManager());
        filter.setPreAuthenticatedPrincipalProviders(preAuthenticatedPrincipalProviders);
        filter.setCheckForPrincipalChanges(true);
        filter.setInvalidateSessionOnPrincipalChange(true);
        filter.setContinueFilterChainOnUnsuccessfulAuthentication(**true**);

        return filter;
    }

将 continueFilterChainOnUnsuccesfulAuthentication 更改为 true 将有助于按原样抛出身份验证异常。但是在将其更改为 true 之后，UsernameNotFoundException 将作为 403 而不是 401 抛出。

是否缺少一些基本的安全配置？

Answer 1

根据 HTTP 规范，提供 403 而不是 401 是绝对正确的，因为提供的凭据是不正确的。返回 401 表示用户应指定访问凭据。

参见:

• wikipedia article of HTTP 403
• RFC 7231

更新

实际上这不是 100% 清楚的原因 RFC 7235表示如果提供的凭据不正确，可能会返回 401。