Spring Security登录接口返回403的过滤链排查与权限匹配解析 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

Spring Security 登录接口返回 403 的过滤链排查与权限匹配解析

大家好，今天我们来深入探讨一个在使用 Spring Security 进行身份验证和授权时经常遇到的问题：登录接口返回 403 Forbidden 错误。 403 错误通常表示服务器理解了请求，但拒绝执行。在 Spring Security 的上下文中，这通常意味着用户通过了身份验证（authentication），但没有被授权（authorization）访问特定资源。

为了更好地理解并解决这个问题，我们将从 Spring Security 的过滤链入手，逐步分析可能导致 403 错误的各种原因，并提供相应的排查和解决方案。

1. Spring Security 过滤链概览

Spring Security 的核心是其过滤链，它由一系列的 Filter 组成，每个 Filter 负责处理特定的安全逻辑。请求会依次通过这些 Filter，最终决定是否允许访问。理解 Spring Security 过滤链的执行顺序和每个 Filter 的作用是解决 403 问题的关键。

常见的 Spring Security 过滤器及其作用如下表所示：

Filter 名称	作用
`ChannelProcessingFilter`	强制请求通过特定的通道（例如 HTTPS）。
`WebAsyncManagerIntegrationFilter`	将 `SecurityContext` 与 Spring 的 `WebAsyncManager` 集成，以便在异步请求处理中保持安全上下文。
`SecurityContextPersistenceFilter`	在请求开始时从 `HttpSession` 中加载 `SecurityContext`，并在请求结束时将其保存回 `HttpSession`。这使得用户在会话期间保持登录状态。
`HeaderWriterFilter`	添加 HTTP 响应头，例如防止 XSS 攻击的头。
`CsrfFilter`	防止跨站请求伪造 (CSRF) 攻击。
`LogoutFilter`	处理注销请求。
`UsernamePasswordAuthenticationFilter`	处理基于用户名和密码的身份验证请求。它负责从请求中提取用户名和密码，并尝试使用 `AuthenticationManager` 进行身份验证。
`BasicAuthenticationFilter`	处理基于 HTTP Basic 认证的身份验证请求。
`RequestCacheAwareFilter`	缓存请求，以便在身份验证成功后将用户重定向到他们最初请求的资源。
`SecurityContextHolderAwareRequestFilter`	提供对 `SecurityContextHolder` 的访问，以便在请求中访问当前用户的安全上下文。
`AnonymousAuthenticationFilter`	如果 `SecurityContext` 为空，则创建一个匿名用户。
`SessionManagementFilter`	管理会话，例如检测会话固定攻击。
`ExceptionTranslationFilter`	处理 `AuthenticationException` 和 `AccessDeniedException`。它将这些异常转换为适当的 HTTP 响应，例如 401 Unauthorized 或 403 Forbidden。
`FilterSecurityInterceptor`	授权访问资源。它使用 `AccessDecisionManager` 来确定是否允许用户访问受保护的资源。这是导致 403 错误的最常见原因之一。
`RememberMeAuthenticationFilter`	处理“记住我”功能，允许用户在关闭浏览器后保持登录状态。

2. 登录接口 403 错误的常见原因

以下是一些导致登录接口返回 403 错误的常见原因：

未配置登录接口的匿名访问权限: 如果 Spring Security 被配置为默认拒绝所有未经身份验证的请求，并且没有明确允许匿名访问登录接口，那么即使未登录的用户尝试访问登录接口也会返回 403。
错误的权限配置: 即使登录接口允许匿名访问，也可能存在其他配置问题导致 403 错误。例如，如果 FilterSecurityInterceptor 检测到当前用户（即使是匿名用户）不具备访问该接口所需的权限，也会拒绝访问。
CSRF 保护: 如果 CSRF 保护已启用，并且登录表单没有包含有效的 CSRF token，那么提交登录请求将会失败，并返回 403 错误。
用户已被认证，但没有访问权限: 如果用户已经通过身份验证，但是没有被授予访问特定资源的权限，那么也会收到 403 错误。这通常发生在角色或权限配置不正确的情况下。
自定义 AccessDecisionManager 拒绝访问: 如果使用了自定义的 AccessDecisionManager，并且该 AccessDecisionManager 的逻辑拒绝了访问，那么也会返回 403 错误。
方法级别的安全性: 如果在登录接口的方法上使用了 @PreAuthorize, @PostAuthorize, @Secured 或 @RolesAllowed 注解，并且当前用户不满足这些注解的要求，那么也会返回 403 错误。
错误的请求方法: 如果登录接口只允许 POST 请求，而客户端使用了 GET 请求，那么服务器可能会返回 403 或 405 Method Not Allowed 错误。
防火墙规则或代理配置: 在某些情况下，防火墙规则或代理配置可能会阻止对登录接口的访问，导致 403 错误。
配置错误导致请求被重定向到需要认证的页面，但认证信息丢失: 错误的配置，例如重定向循环，可能导致浏览器在尝试访问登录接口时被重定向到需要认证的页面，但由于某些原因（例如 CSRF token 丢失），认证信息无法正确传递，从而导致 403 错误。

3. 排查步骤与解决方案

为了解决登录接口返回 403 错误的问题，可以按照以下步骤进行排查：

步骤 1: 检查 Spring Security 配置

首先，检查 Spring Security 的配置文件（通常是 WebSecurityConfigurerAdapter 的子类）。重点关注以下几个方面：

匿名访问权限: 确认是否允许匿名访问登录接口。可以使用 permitAll() 或 anonymous() 方法来允许匿名访问。
请求匹配器: 确保登录接口的 URL 匹配了正确的请求匹配器。避免使用过于宽泛的匹配器，以免影响其他资源的安全性。
角色和权限配置: 检查是否为用户分配了正确的角色和权限。确认用户拥有访问所需资源的权限。
CSRF 保护: 如果 CSRF 保护已启用，请确保登录表单包含了有效的 CSRF token。
自定义 AccessDecisionManager: 如果使用了自定义的 AccessDecisionManager，请仔细检查其逻辑，确保它不会错误地拒绝访问。

示例代码 (允许匿名访问登录接口):

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/login").permitAll() // 允许匿名访问 /login 接口
                .antMatchers("/admin/**").hasRole("ADMIN") // 需要 ADMIN 角色才能访问 /admin/** 接口
                .anyRequest().authenticated() // 其他所有请求都需要认证
                .and()
            .formLogin()
                .loginPage("/login") // 自定义登录页面
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("user").password("{noop}password").roles("USER") // 使用 {noop} 前缀表示密码未加密 (仅用于示例)
            .withUser("admin").password("{noop}password").roles("ADMIN");
    }
}

步骤 2: 检查 CSRF Token

如果启用了 CSRF 保护，需要确保登录表单包含了有效的 CSRF token。可以通过以下方式在 Thymeleaf 模板中添加 CSRF token：

<form action="/login" method="post">
    <input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}" />
    <!-- 其他表单字段 -->
    <button type="submit">登录</button>
</form>

对于使用 JavaScript 发送登录请求的情况，需要手动获取 CSRF token 并将其添加到请求头中。

步骤 3: 启用调试模式

Spring Security 提供了调试模式，可以帮助我们了解过滤链的执行过程和权限验证的结果。可以在 application.properties 或 application.yml 文件中启用调试模式：

logging.level.org.springframework.security = DEBUG

启用调试模式后，可以在控制台中看到 Spring Security 的详细日志，包括每个 Filter 的执行情况、权限验证的结果以及导致 403 错误的具体原因。

步骤 4: 检查异常处理

检查 ExceptionTranslationFilter 的配置。确保它能够正确处理 AuthenticationException 和 AccessDeniedException。自定义 AuthenticationEntryPoint 和 AccessDeniedHandler 可以提供更友好的错误提示。

示例代码 (自定义 AuthenticationEntryPoint):

@Component
public class CustomAuthenticationEntryPoint implements AuthenticationEntryPoint {

    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException {
        response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
        response.setContentType("application/json");
        response.getWriter().write("{"error": "Unauthorized", "message": "" + authException.getMessage() + ""}");
    }
}

// 在 SecurityConfig 中配置
@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .exceptionHandling()
            .authenticationEntryPoint(new CustomAuthenticationEntryPoint())
            .and()
        // ... 其他配置
}

步骤 5: 检查方法级别的安全性

如果登录接口的方法上使用了 @PreAuthorize, @PostAuthorize, @Secured 或 @RolesAllowed 注解，请确保当前用户满足这些注解的要求。例如：

@RestController
public class LoginController {

    @PostMapping("/login")
    @PreAuthorize("isAnonymous()") // 只允许匿名用户访问
    public ResponseEntity<?> login(@RequestBody LoginRequest loginRequest) {
        // ... 登录逻辑
        return ResponseEntity.ok("Login successful");
    }
}

步骤 6: 使用 Spring Security 的测试支持

Spring Security 提供了强大的测试支持，可以模拟用户登录并验证权限。可以使用 @WithMockUser 注解或 SecurityMockMvcRequestPostProcessors 来模拟用户登录。

示例代码 (使用 @WithMockUser 进行测试):

@SpringBootTest
@AutoConfigureMockMvc
public class LoginControllerTest {

    @Autowired
    private MockMvc mockMvc;

    @Test
    @WithMockUser(username = "user", roles = "USER")
    public void testLoginWithUserRole() throws Exception {
        mockMvc.perform(post("/login")
                .contentType(MediaType.APPLICATION_JSON)
                .content("{"username": "user", "password": "password"}"))
                .andExpect(status().isOk());
    }

    @Test
    public void testLoginWithoutAuthentication() throws Exception {
        mockMvc.perform(post("/login")
                .contentType(MediaType.APPLICATION_JSON)
                .content("{"username": "user", "password": "password"}"))
                .andExpect(status().isForbidden()); // 预期返回 403
    }
}

步骤 7: 检查请求方法

确保客户端使用的请求方法与登录接口的要求一致。如果登录接口只允许 POST 请求，而客户端使用了 GET 请求，服务器可能会返回 403 或 405 错误。

步骤 8: 检查防火墙和代理配置

检查防火墙规则和代理配置，确保它们没有阻止对登录接口的访问。可以尝试使用 curl 或 telnet 命令从服务器上测试是否可以访问登录接口。

4. 一个完整的调试示例

假设我们的登录接口 /login 返回 403 错误。以下是一个完整的调试示例，展示了如何使用上述步骤来解决问题：

1. 检查 Spring Security 配置：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/login").permitAll() // 允许匿名访问 /login 接口
                .anyRequest().authenticated() // 其他所有请求都需要认证
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("user").password("{noop}password").roles("USER");
    }
}

2. 启用调试模式：

在 application.properties 中添加：

logging.level.org.springframework.security = DEBUG

3. 查看日志：

重启应用程序并尝试访问 /login 接口。查看控制台输出的 Spring Security 日志。日志可能会显示以下信息：

2023-10-27 10:00:00.000 DEBUG [org.springframework.security.web.FilterChainProxy] - /login at position 1 of 12 in additional filter chain; firing Filter: 'WebAsyncManagerIntegrationFilter'
2023-10-27 10:00:00.001 DEBUG [org.springframework.security.web.FilterChainProxy] - /login at position 2 of 12 in additional filter chain; firing Filter: 'SecurityContextPersistenceFilter'
2023-10-27 10:00:00.002 DEBUG [org.springframework.security.web.FilterChainProxy] - /login at position 3 of 12 in additional filter chain; firing Filter: 'HeaderWriterFilter'
2023-10-27 10:00:00.003 DEBUG [org.springframework.security.web.FilterChainProxy] - /login at position 4 of 12 in additional filter chain; firing Filter: 'CsrfFilter'
2023-10-27 10:00:00.004 DEBUG [org.springframework.security.web.FilterChainProxy] - /login at position 5 of 12 in additional filter chain; firing Filter: 'LogoutFilter'
2023-10-27 10:00:00.005 DEBUG [org.springframework.security.web.FilterChainProxy] - /login at position 6 of 12 in additional filter chain; firing Filter: 'UsernamePasswordAuthenticationFilter'
2023-10-27 10:00:00.006 DEBUG [org.springframework.security.web.FilterChainProxy] - /login at position 7 of 12 in additional filter chain; firing Filter: 'RequestCacheAwareFilter'
2023-10-27 10:00:00.007 DEBUG [org.springframework.security.web.FilterChainProxy] - /login at position 8 of 12 in additional filter chain; firing Filter: 'SecurityContextHolderAwareRequestFilter'
2023-10-27 10:00:00.008 DEBUG [org.springframework.security.web.FilterChainProxy] - /login at position 9 of 12 in additional filter chain; firing Filter: 'AnonymousAuthenticationFilter'
2023-10-27 10:00:00.009 DEBUG [org.springframework.security.web.FilterChainProxy] - /login at position 10 of 12 in additional filter chain; firing Filter: 'SessionManagementFilter'
2023-10-27 10:00:00.010 DEBUG [org.springframework.security.web.FilterChainProxy] - /login at position 11 of 12 in additional filter chain; firing Filter: 'ExceptionTranslationFilter'
2023-10-27 10:00:00.011 DEBUG [org.springframework.security.web.FilterChainProxy] - /login at position 12 of 12 in additional filter chain; firing Filter: 'FilterSecurityInterceptor'
2023-10-27 10:00:00.012 DEBUG [org.springframework.security.access.vote.AffirmativeBased] - Voter: org.springframework.security.web.access.expression.WebExpressionVoter@12345678, decision: ACCESS_DENIED
2023-10-27 10:00:00.013 DEBUG [org.springframework.security.web.access.ExceptionTranslationFilter] - Access is denied (user is anonymous); redirecting to authentication entry point

4. 分析日志：

FilterSecurityInterceptor 拒绝了访问。
WebExpressionVoter 拒绝了访问。
用户是匿名用户。

5. 解决方案：

根据日志，我们可以确定是 FilterSecurityInterceptor 拒绝了匿名用户访问 /login 接口。虽然我们在 HttpSecurity 中使用了 permitAll() 方法，但可能存在其他配置问题。

检查 SecurityConfig 类，确保 /login 接口的 permitAll() 方法配置正确，并且没有被其他规则覆盖。重新启动应用程序并再次尝试访问 /login 接口。

如果问题仍然存在，可以尝试在 HttpSecurity 中添加 anonymous() 方法来允许匿名访问：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/login").anonymous() // 允许匿名访问 /login 接口
            .anyRequest().authenticated()
            .and()
        .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
        .logout()
            .permitAll();
}

通过逐步排查和分析日志，我们可以找到导致登录接口返回 403 错误的根本原因，并采取相应的措施来解决问题。

5. 总结一下

解决 Spring Security 登录接口 403 错误，需要理解过滤链的运作方式，仔细检查配置，并使用调试工具定位问题。正确的角色权限配置和 CSRF 保护是保证安全的关键。

Spring Security 登录接口返回 403 的过滤链排查与权限匹配解析

发表回复 取消回复

发表回复取消回复