Spring Security 中 Filter 异常如何优雅捕获和处理？_技术教程

Spring Security 过滤器异常处理最佳实践

Spring Security 的过滤器链机制在处理异常方面与标准 Servlet 过滤器有所不同。标准的全局异常处理机制（例如 @ExceptionHandler）无法直接捕获在 Spring Security 过滤器中抛出的异常。这是因为 Spring Security 拥有自身的异常处理机制，优先于全局异常处理。

有效解决方案：

为了优雅地处理 Spring Security 过滤器中的异常，推荐使用 Spring Security 提供的 SecurityContextFailureHandler 接口。通过实现该接口，您可以自定义异常处理逻辑，并控制最终的 HTTP 响应。

代码示例：

以下示例演示如何在自定义 JWT 认证过滤器中实现异常处理：

创建 SecurityContextFailureHandler 实现： 创建一个类，实现 SecurityContextFailureHandler 接口，并重写 onAuthenticationFailure 方法。在这个方法中，您可以根据抛出的异常类型，设置 HTTP 状态码，以及返回自定义错误信息到客户端。
将自定义处理器注入过滤器： 将自定义的 SecurityContextFailureHandler 实例注入到您的过滤器中。
在过滤器中捕获异常： 使用 try-catch 块捕获过滤器中可能抛出的异常，然后调用自定义的 SecurityContextFailureHandler 来处理异常。

import org.springframework.security.core.AuthenticationException;
import org.springframework.security.web.AuthenticationEntryPoint;
import org.springframework.security.web.authentication.AuthenticationFailureHandler;
import org.springframework.stereotype.Component;
import org.springframework.security.web.authentication.SimpleUrlAuthenticationFailureHandler;
import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

@Component
public class JwtAuthenticationTokenFilter extends OncePerRequestFilter {

    private final AuthenticationFailureHandler authenticationFailureHandler;

    public JwtAuthenticationTokenFilter(AuthenticationFailureHandler authenticationFailureHandler) {
        this.authenticationFailureHandler = authenticationFailureHandler;
    }

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        try {
            // ... 您的 JWT 认证逻辑 ...
        } catch (AuthenticationException e) {
            authenticationFailureHandler.onAuthenticationFailure(request, response, e);
        } catch (Exception e) {
            // 处理其他类型的异常
            response.setStatus(HttpServletResponse.SC_INTERNAL_SERVER_ERROR);
            response.getWriter().write("Internal Server Error");
        }
    }
}


@Component
public class CustomAuthenticationFailureHandler implements AuthenticationFailureHandler {
    @Override
    public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException {
        response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
        response.setContentType("application/json");
        response.getWriter().write("{\"error\": \"" + exception.getMessage() + "\"}");
    }
}