12.Spring security中的异常处理

最新推荐文章于 2024-07-17 23:44:26 发布
最新推荐文章于 2024-07-17 23:44:26 发布
阅读量1.8k 收藏 7
点赞数 1
分类专栏： # 深入浅出spring security 文章标签： spring java
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_39748549/article/details/123758659
版权

文章目录

异常处理

Spring security中关于异常的处理主要是两个方面：认证异常处理、权限异常处理，除此之外的异常则抛出，交给spring去处理。

12.1Spring Security异常体系

Spring security中的异常主要分为两大类：

  • AuthenticationException：认证异常。
  • AccessDeniedException：权限异常。

认证异常类：

异常类型备注
AuthenticationException认证异常的父类，抽象类
BadCredentialsException登录凭证(密码)异常
InsufficientAuthenticationException登录凭证不够充分而抛出的异常
SessionAuthenticationException会话并发管理时抛出的异常，例如会话总数超出最大限制数
UsernameNotFoundException用户名不存在异常
PreAuthenticatedCredentialsNotFoundException身份预认证失败异常
ProviderNotFoundException未配置AuthenticationProvider异常
AuthenticationServiceException由于系统问题而无法处理认证请求异常
InternalAuthenticationServiceException由于系统问题而无法处理认证请求异常。和AuthenticationServiceException不同之处在于，如果外部系统出错，则不会抛出该异常
AuthenticationCredentialsNotFoundExceptionSecurityContext中不存在认证主体时抛出的异常
NonceExpiredExceptionHTTP摘要认证时随机数过期异常
RememberMeAuthenticationExceptionRemember-me认证异常
CookieTheftExceptionRemember-me认证时cookie被盗窃异常
InvalidCookieExceptionRemember-me认证时无效的cookie异常
AccountStatusException账户状态异常
LockedException账户被锁定异常
DisabledException账户被禁用异常
CredentialsExpiredException登录凭证(密码)过期异常
AccountExpiredException账户过期异常

权限异常类：

异常类型备注
AccessDeniedException权限异常的父类
AuthorizationServiceException由于系统问题而无法处理权限时抛出异常
CsrfExceptionCsrf令牌异常
MissingCsrfTokenExceptionCsrf令牌缺失异常
InvalidCsrfTokenExceptionCsrf令牌无效异常
12.2ExceptionTranslationFilter原理分析

Spring security中的异常处理任务主要是在ExceptionTranslationFilter过滤器中完成的。该过滤器主要处理AuthenticationException和AccessDeniedException类型的异常，其他异常则会继续抛出，交给上一层容器去处理。

在WebSecurityConfigurerAdapter#getHttp方法中进行HttpSecurity初始化的时候，就调用了exceptionHandling()方法去配置ExceptionTranslationFilter过滤器：

protected final HttpSecurity getHttp() throws Exception {
    // ...
    if (!this.disableDefaults) {
        applyDefaultConfiguration(this.http);
        // ...
    }
    configure(this.http);
	return this.http;
}

private void applyDefaultConfiguration(HttpSecurity http) throws Exception {
    http.csrf();
    http.addFilter(new WebAsyncManagerIntegrationFilter());
    http.exceptionHandling();
    http.headers();
    http.sessionManagement();
    http.securityContext();
    http.requestCache();
    http.anonymous();
    http.servletApi();
    http.apply(new DefaultLoginPageConfigurer<>());
    http.logout();
}

exceptionHandling()方法就是调用ExceptionHandlingConfigurer去配置ExceptionTranslationFilter：

@Override
public void configure(H http) {
    // 获取认证失败时的处理器
    AuthenticationEntryPoint entryPoint = getAuthenticationEntryPoint(http);
    // 创建ExceptionTranslationFilter过滤器并传入entryPoint
    ExceptionTranslationFilter exceptionTranslationFilter = new ExceptionTranslationFilter(entryPoint,
            getRequestCache(http));
    // 获取权限异常处理器
    AccessDeniedHandler deniedHandler = getAccessDeniedHandler(http);
    exceptionTranslationFilter.setAccessDeniedHandler(deniedHandler);
    // 注册到spring容器中
    exceptionTranslationFilter = postProcess(exceptionTranslationFilter);
    // 添加到spring security过滤器链中
    http.addFilter(exceptionTranslationFilter);
}
AuthenticationEntryPoint

AuthenticationEntryPoint实例是通过getAuthenticationEntryPoint方法获取到的：

AuthenticationEntryPoint getAuthenticationEntryPoint(H http) {
    // 默认情况下，系统的authenticationEntryPoint属性值为null
    AuthenticationEntryPoint entryPoint = this.authenticationEntryPoint;
    if (entryPoint == null) {
        entryPoint = createDefaultEntryPoint(http);
    }
    return entryPoint;
}

private AuthenticationEntryPoint createDefaultEntryPoint(H http) {
    // defaultEntryPointMappings -> LinkedHashMap<RequestMatcher, AuthenticationEntryPoint>，
    // 即一个请求匹配器对应一个认证失败处理器，针对不同的请求，可以给出不同的认证失败处理器
    if (this.defaultEntryPointMappings.isEmpty()) {
        return new Http403ForbiddenEntryPoint();
    }
    if (this.defaultEntryPointMappings.size() == 1) {
        return this.defaultEntryPointMappings.values().iterator().next();
    }
    // 如果defaultEntryPointMappings变量中有多项，则使用DelegatingAuthenticationEntryPoint代理类，在代理类中，
    // 会遍历defaultEntryPointMappings中的每一项，查看当前请求是否满足其RequestMatcher，如果满足，则使用对应的
    // 认证失败处理器来处理
    DelegatingAuthenticationEntryPoint entryPoint = new DelegatingAuthenticationEntryPoint(
            this.defaultEntryPointMappings);
    entryPoint.setDefaultEntryPoint(this.defaultEntryPointMappings.values().iterator().next());
    return entryPoint;
}

当新建一个spring security项目时，不做任何配置时，在WebSecurityConfigurerAdapter#configure(HttpSecurity)方法中默认会配置表单登录和HTTP基本认证，而在这个配置过程中，会分别向defaultEntryPointMappings中添加认证失败处理器：

  • 表单登录在AbstractAuthenticationFilterConfigurer#registerAuthenticationEntryPoint方法中向defaultEntryPointMappings变量添加的处理器，对应的AuthenticationEntryPoint实例是LoginUrlAuthenticationEntryPoint，默认情况下访问需要认证才能访问的页面时，会自动跳转到登录页面，就是通过LoginUrlAuthenticationEntryPoint实现的。
  • HTTP基本认证在HttpBasicConfigurer#registerDefaultEntryPoint方法中向defaultEntryPointMappings变量添加处理器，对应的AuthenticationEntryPoint实例是BasicAuthenticationEntryPoint。

所以默认情况下，defaultEntryPointMappings变量中将存在两个认证失败处理器。

AccessDeniedHandler

AccessDeniedHandler实例是通过getAccessDeniedHandler方法获取到的：

// 获取流程和AuthenticationEntryPoint基本上一模一样
AccessDeniedHandler getAccessDeniedHandler(H http) {
	AccessDeniedHandler deniedHandler = this.accessDeniedHandler;
	if (deniedHandler == null) {
		deniedHandler = createDefaultDeniedHandler(http);
	}
	return deniedHandler;
}

private AccessDeniedHandler createDefaultDeniedHandler(H http) {
	// 不同的是，默认情况下这里的defaultDeniedHandlerMappings变量是空的，所以最终获取到的实例是AccessDeniedHandlerImpl。
	// 在AccessDeniedHandlerImpl#handle方法中处理鉴权失败的情况，如果存在错误页面，就跳转到错误页面，并设置响应码为403；
	// 如果没有错误页面，则直接给出错误响应即可
	if (this.defaultDeniedHandlerMappings.isEmpty()) {
		return new AccessDeniedHandlerImpl();
	}
	if (this.defaultDeniedHandlerMappings.size() == 1) {
		return this.defaultDeniedHandlerMappings.values().iterator().next();
	}
	return new RequestMatcherDelegatingAccessDeniedHandler(this.defaultDeniedHandlerMappings,
			new AccessDeniedHandlerImpl());
}

AuthenticationEntryPoint和AccessDeniedHandler都有了之后，接下来就是ExceptionTranslationFilter中的处理逻辑了。

ExceptionTranslationFilter

默认情况下，ExceptionTranslationFilter过滤器在整个spring security过滤器链中排名倒数第二，倒数第一是FilterSecurityInterceptor。在FilterSecurityInterceptor中将会对用户的身份进行校验，如果用户身份不合法，就会抛出异常，抛出来的异常，刚好就在ExceptionTranslationFilter过滤器中进行处理了：

private void doFilter(HttpServletRequest request, HttpServletResponse response, FilterChain chain)
		throws IOException, ServletException {
	// 用一个try/catch块将chain.doFilter包裹起来，如果后面有异常抛出，就直接在这里捕获到了
	try {
		// 直接执行了chain.doFilter方法，让当前请求继续执行剩下的过滤器(即FilterSecurityInterceptor)
		chain.doFilter(request, response);
	}
	catch (IOException ex) {
		throw ex;
	}
	catch (Exception ex) {
		// throwableAnalyzer对象是一个异常分析器，由于异常在抛出的过程中可能被层层转包，需要还原最初的异常，
		// 通过throwableAnalyzer.determineCauseChain方法可以获得整个异常链
		Throwable[] causeChain = this.throwableAnalyzer.determineCauseChain(ex);
		// 获取到异常链后调用getFirstThrowableOfType方法查看异常链中是否有认证失败类型的异常AuthenticationException，
		// 注意查找顺序，先找认证异常，再找鉴权异常，如果存在这两种类型的异常，则调用handleSpringSecurityException方法
		// 进行异常处理，否则将异常抛出交给上层容器去处理
		RuntimeException securityException = (AuthenticationException) this.throwableAnalyzer
				.getFirstThrowableOfType(AuthenticationException.class, causeChain);
		if (securityException == null) {
			securityException = (AccessDeniedException) this.throwableAnalyzer
					.getFirstThrowableOfType(AccessDeniedException.class, causeChain);
		}
		if (securityException == null) {
			rethrow(ex);
		}
		if (response.isCommitted()) {
			throw new ServletException("Unable to handle the Spring Security Exception "
					+ "because the response is already committed.", ex);
		}
		handleSpringSecurityException(request, response, chain, securityException);
	}
}

private void handleSpringSecurityException(HttpServletRequest request, HttpServletResponse response,
		FilterChain chain, RuntimeException exception) throws IOException, ServletException {
	// 判断异常类型是不是AuthenticationException，如果是，则进入handleAuthenticationException方法中处理认证失败
	if (exception instanceof AuthenticationException) {
		handleAuthenticationException(request, response, chain, (AuthenticationException) exception);
	}
	// 如果异常类型是AccessDeniedException，则进入handleAccessDeniedException方法中处理
	else if (exception instanceof AccessDeniedException) {
		handleAccessDeniedException(request, response, chain, (AccessDeniedException) exception);
	}
}

private void handleAuthenticationException(HttpServletRequest request, HttpServletResponse response,
		FilterChain chain, AuthenticationException exception) throws ServletException, IOException {
	sendStartAuthentication(request, response, chain, exception);
}

private void handleAccessDeniedException(HttpServletRequest request, HttpServletResponse response,
		FilterChain chain, AccessDeniedException exception) throws ServletException, IOException {
	// 从SecurityContextHolder中取出当前认证主体
	Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
	// 判断是否是匿名用户
	boolean isAnonymous = this.authenticationTrustResolver.isAnonymous(authentication);
	// 如果是匿名用户，或者当前认证是通过remember-me完成的，那么也认为是认证异常，需要重新创建一个
	// InsufficientAuthenticationException类型的异常对象，然后进入sendStartAuthentication
	// 方法进行处理，否则就认为是鉴权异常，调用accessDeniedHandler.handle方法进行处理
	if (isAnonymous || this.authenticationTrustResolver.isRememberMe(authentication)) {
		sendStartAuthentication(request, response, chain,
				new InsufficientAuthenticationException(
						this.messages.getMessage("ExceptionTranslationFilter.insufficientAuthentication",
								"Full authentication is required to access this resource")));
	}
	else {
		this.accessDeniedHandler.handle(request, response, exception);
	}
}

protected void sendStartAuthentication(HttpServletRequest request, HttpServletResponse response, FilterChain chain,
		AuthenticationException reason) throws ServletException, IOException {
	// 清除SecurityContextHolder的认证主体，因为现有的认证不再被认为是有效的
	SecurityContext context = SecurityContextHolder.createEmptyContext();
	SecurityContextHolder.setContext(context);
	// 保存当前请求
	this.requestCache.saveRequest(request, response);
	// 调用authenticationEntryPoint.commence方法完成认证失败处理
	this.authenticationEntryPoint.commence(request, response, reason);
}
// 至此，AuthenticationEntryPoint和AccessDeniedHandler在这里就都派上用场了
12.3自定义异常配置

Spring security中默认提供的异常处理器不一定满足项目的需求，如果开发者需要自定义，也是可以的：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
                .withUser("javaboy")
                .password("{noop}123")
                .roles("user");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                // 设置访问/admin接口必须具备admin角色，其他接口只需要认证就可以访问
                .antMatchers("/admin").hasRole("admin")
                .anyRequest().authenticated()
                .and()
                // 然后对exceptionHandling分别配置了authenticationEntryPoint和accessDeniedHandler，
                // 这里配置完成后，defaultEntryPointMappings和defaultDeniedHandlerMappings中的处理器就会失效
                .exceptionHandling()
                .authenticationEntryPoint((request, response, authException) -> {
                    response.setStatus(HttpStatus.UNAUTHORIZED.value());
                    response.getWriter().write("please login");
                })
                .accessDeniedHandler((request, response, accessDeniedException) -> {
                    response.setStatus(HttpStatus.FORBIDDEN.value());
                    response.getWriter().write("forbidden");
                })
                .and()
                .formLogin()
                .and()
                .csrf().disable();
    }
}

接下来启动项目，如果用户未经登陆就访问/hello接口，则：

在这里插入图片描述

当用户登录成功后，但是不具备admin角色，此时如果访问/admin接口，则：

在这里插入图片描述

当然，开发者也可以为不同的接口配置不同的异常处理器：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        AntPathRequestMatcher matcher1 = new AntPathRequestMatcher("/qq/**");
        AntPathRequestMatcher matcher2 = new AntPathRequestMatcher("/wx/**");

        http.authorizeRequests()
                .antMatchers("/wx/**").hasRole("wx")
                .antMatchers("/qq/**").hasRole("qq")
                .anyRequest().authenticated()
                .and()
                .exceptionHandling()
                .defaultAuthenticationEntryPointFor((request, response, authException) -> {
                    response.setContentType("text/html;charset=utf-8");
                    response.setStatus(HttpStatus.UNAUTHORIZED.value());
                    response.getWriter().write("请登录, QQ用户");
                }, matcher1)
                .defaultAuthenticationEntryPointFor((request, response, accessDeniedException) -> {
                    response.setContentType("text/html;charset=utf-8");
                    response.setStatus(HttpStatus.UNAUTHORIZED.value());
                    response.getWriter().write("请登录, WX用户");
                }, matcher2)
                .defaultAccessDeniedHandlerFor((request, response, accessDeniedException) -> {
                    response.setContentType("text/html;charset=utf-8");
                    response.setStatus(HttpStatus.FORBIDDEN.value());
                    response.getWriter().write("权限不足, QQ用户");
                }, matcher1)
                .defaultAccessDeniedHandlerFor((request, response, accessDeniedException) -> {
                    response.setContentType("text/html;charset=utf-8");
                    response.setStatus(HttpStatus.FORBIDDEN.value());
                    response.getWriter().write("权限不足, WX用户");
                }, matcher2)
                .and()
                .formLogin()
                .and()
                .csrf().disable();
    }
}

配置完成后，不同接口将会给出不同的异常响应。

EdSheeran乀
关注
专栏目录
springsecurity原理流程图.pdf
09-08
认证成功后，Spring Security会将认证信息存储在session中，并通过调用sessionStrategy.onAuthentication方法来处理与session相关的操作。 b. 最终，会执行successfulAuthentication方法，该方法可以被子类覆盖以...
Spring Security 自定义异常失效？从源码分析到解决方案
有来技术
11-30 1750
本文深度解析Spring Security权限管理系统中，当全局异常处理器存在时，自定义的权限异常处理器失效的问题。通过源码详细解析，揭示了异常处理的内部流程，帮助读者深入理解Spring Security异常处理机制。
spring Security 异常处理
weixin_52834606的博客
09-06 4434
spring security 前后端分离 异常处理 ！
Spring Security之安全异常处理
最新发布
Evan_L的博客
07-17 1377
在Spring Security中，特指对于安全异常的处理。我们知道Spring Security主要是基于过滤器来实现的，因此每个安全过滤器都可能发生安全异常，所以处理逻辑会被散落在各个过滤器中。Spring自然是不能忍受这种设计，于是就有了专门的安全异常处理。注：下文我们都用异常处理来代指安全异常处理。异常处理体系包括异常定义分两类 —— 认证异常、访问拒绝异常（鉴权异常）
Spring Security异常处理
大后生大大大的博客
12-09 3413
ExceptionTranslationFilter、AuthenticationEntryPoint、AccessDeniedHandler、自定义异常配置
关于Spring Security自定义认证时，异常处理的问题，如何使用自定义异常进行消息提示
无限进步的博客
02-10 2892
我们在利用springSecurity进行认证时，如果没有配置认证失败处理器，想要在自己实现UserDetailsService中抛出异常来进行提示用户用户名错误时，再利用全局异常处理器中是无法捕获到自己抛出的异常。
解决Spring Security在添加@RestControllerAdvice后异常抛出的问题
weixin_53080005的博客
03-12 664
如果您已经按照上述方式实现了自定义的异常处理类，并在其中返回响应信息，但在加入@RestControllerAdvice全局异常处理程序后，您的响应信息无法正常响应，可能是因为@RestControllerAdvice处理程序覆盖了您的自定义异常处理类。默认情况下，@RestControllerAdvice处理程序会处理所有未被捕获的异常，并返回一个标准的错误响应。因此，如果您在@RestControllerAdvice中没有正确处理您的自定义异常类型，就会导致在返回时无法正常响应您的响应信息。
一文搞定 Spring Security 异常处理机制！
m0_71777195的博客
07-08 2786
今天来和小伙伴们聊一聊 Spring Security 中的异常处理机制。在 Spring Security 的过滤器链中，ExceptionTranslationFilter 过滤器专门用来处理异常，在 ExceptionTranslationFilter 中，我们可以看到，异常被分为了两大类：认证异常和授权异常，两种异常分别由不同的回调函数来处理，今天就来和大家分享一下这里的条条框框。Spring Security 中的异常可以分为两大类，一种是认证异常，一种是授权异常。认证异常就是 Authentic
Spring Security.pdf
05-25
在配置过程中，还需要考虑到跨站请求伪造（CSRF）保护、会话管理、异常处理等安全细节。 Spring Security工程的构建涉及到安全性配置、用户信息管理、权限控制等多个方面。开发者需要根据实际需求，合理设计并实现...
Spring Security 中文教程.pdf
12-06
- **Web - spring-security-web.jar**：用于处理Web应用中的安全性问题。 - **Config - spring-security-config.jar**：提供配置支持，方便配置安全性策略。 - **LDAP - spring-security-ldap.jar**：支持通过...
Spring Security 5.1 中文 参考手册 中文文档
05-16
- Spring Security使用一种强大的表达式语言（EL）进行访问控制，允许开发者在访问控制规则中使用复杂的逻辑。5.1版本可能扩展了EL，增加了更多内置函数和变量。 7. **集成**： - Spring Security能够与Spring ...
Spring-Security-3中文官方文档.pdf
09-21
文档中还会涵盖Spring Security与其他Spring模块的集成，例如Spring MVC和Spring Data，以及Spring Security与WebSocket、RESTful服务的整合。同时，它会讲解如何处理安全性相关的异常，以及如何实现自定义的安全...
前后端项目，spring boot 整合 spring srcurity出现全局异常统一处理类失效--解决方法
it浅阳的博客
03-21 1581
前后端项目，spring boot 整合 spring security ，因为spring security 过滤器链导致全局异常统一处理类失效的解决方法及原理，通俗易懂
全局异常处理-GlobalException-找不到指定异常解决方案
丁世杰的博客
04-28 573
*把异常的名称写全，不要只写最后一个单词，写全之后一定会捕获到的。
SpringSecurity：异常处理
拒绝熬夜啊的博客
11-30 1537
SpringSecurity——异常处理 一、常见异常 我们先来列举下一些 Spring Security 中常见的异常： UsernameNotFoundException（用户不存在） DisabledException（用户已被禁用） BadCredentialsException（坏的凭据） LockedException（账户锁定） AccountExpiredException （账户过期） CredentialsExpiredException（证书过期） 二、处理异常 （1） 指定错误U
spring security oauth：自定义异常处理（授权服务）
szw-yunie的博客
02-25 3208
最近使用了 spring security oauth 来搭建认证服务，计划使用 oauth 的密码模式、以前端页面为客户端。 前后端交互要求统一相应结构，spring security oauth 默认的错误响应不满足要求。 本文对spring security oauth 授权服务对自定义异常处理、自定义异常响应问题提出解决办法。
SpringSecurity自定义异常处理器
qq_58137891的博客
05-16 410
1.在springsecurity中用户认证的异常处理器由实现AuthenticationEntryPoint接口的类完成，因此只需要自定义一个实现该接口的异常处理类，然后将该异常处理类配置到SecurityConfig类中就行。2.授权的异常处理类与认证类似，是由AccessDeniedHandler接口实现类。
SpringSecurity之异常处理
Littewood的博客
07-24 972
SpringSecurity之异常处理
spring security自定义异常处理
05-28
Spring Security 是一个基于 Spring 的安全框架，其支持多种认证方式、授权方式以及自定义安全过滤器等。在使用 Spring Security 进行开发时，自定义异常处理是非常重要的一部分。下面是 Spring Security 自定义异常处理的步骤： 1. 实现 AuthenticationEntryPoint 接口，该接口用于处理未认证用户的请求。通过实现该接口，可以自定义未认证用户的返回结果，例如返回自定义的 JSON 格式数据或者跳转到自定义的登录页面。 2. 实现 AccessDeniedHandler 接口，该接口用于处理已认证用户但没有权限访问资源的请求。同样可以通过实现该接口，自定义返回结果。 实现以上两个接口之后，需要在 Spring Security 配置中进行配置，将自定义实现的类添加到配置中即可生效。下面是一个示例配置： ``` @Configuration @EnableWebSecurity public class WebSecurityConfig extends WebSecurityConfigurerAdapter { @Autowired private MyAuthenticationEntryPoint myAuthenticationEntryPoint; @Autowired private MyAccessDeniedHandler myAccessDeniedHandler; @Override protected void configure(HttpSecurity http) throws Exception { http.exceptionHandling() .authenticationEntryPoint(myAuthenticationEntryPoint) .accessDeniedHandler(myAccessDeniedHandler) .and() .authorizeRequests() .antMatchers("/admin/**").hasRole("ADMIN") .antMatchers("/user/**").hasAnyRole("USER", "ADMIN") .anyRequest().authenticated() .and() .formLogin().loginPage("/login").permitAll() .and() .logout().permitAll(); } } ```
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值