使用自定义身份验证修复 React-Spring 应用程序中的 401 未经授权的 Spring 安全错误

解决方案 1：更新无状态会话管理的 Spring Security 配置

此方法使用 Spring Security 的无状态会话策略来解决 REST API 上下文中的会话管理，该上下文针对 React 等单页应用程序 (SPA) 进行了优化。在这里，我们调整 SecurityFilterChain 配置以匹配 REST API 无状态模型。

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return http
        .csrf(csrf -> csrf.disable())  // Disable CSRF for REST APIs
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/user/register", "/user/login").permitAll()
            .anyRequest().authenticated()
        )
        .httpBasic(Customizer.withDefaults())
        .sessionManagement(session ->
            session.sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        )
        .build();
}

解决方案 2：基于令牌的身份验证的自定义身份验证过滤器

在此解决方案中，自定义过滤器对用户进行身份验证并在响应标头中附加令牌。该过滤器使用基于令牌的身份验证，非常适合 RESTful 应用程序，并且可以与 React 无缝协作。

@Component
public class CustomAuthFilter extends OncePerRequestFilter {
    private final AuthenticationManager authenticationManager;
    public CustomAuthFilter(AuthenticationManager authManager) {
        this.authenticationManager = authManager;
    }
    @Override
    protected void doFilterInternal(HttpServletRequest request,
                                    HttpServletResponse response,
                                    FilterChain filterChain)
                                    throws ServletException, IOException {
        String authHeader = request.getHeader("Authorization");
        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            String token = authHeader.substring(7);
            Authentication authentication = new UsernamePasswordAuthenticationToken(token, null);
            Authentication authResult = authenticationManager.authenticate(authentication);
            SecurityContextHolder.getContext().setAuthentication(authResult);
        }
        filterChain.doFilter(request, response);
    }
}

解决方案3：服务类调整和令牌响应

该服务实现在成功登录时发送 JWT 令牌，使用模块化设计来确保每个功能在整个应用程序中都是可测试和可重用的。

@Service
public class AuthenticationService {
    private final AuthenticationManager authenticationManager;
    private final TokenProvider tokenProvider; // Custom class for generating JWTs
    public AuthenticationService(AuthenticationManager authenticationManager,
                                 TokenProvider tokenProvider) {
        this.authenticationManager = authenticationManager;
        this.tokenProvider = tokenProvider;
    }
    public String authenticateAndGenerateToken(LoginDTO loginDTO) {
        Authentication authentication = authenticationManager
            .authenticate(new UsernamePasswordAuthenticationToken(loginDTO.getUserName(),
                                                                loginDTO.getPassword()));
        SecurityContextHolder.getContext().setAuthentication(authentication);
        return tokenProvider.createToken(authentication);
    }
}

令牌生成和身份验证的单元测试

此 JUnit 测试可确保身份验证和令牌生成正常工作，并验证访问安全资源的身份验证。

@SpringBootTest
@AutoConfigureMockMvc
public class AuthenticationServiceTest {
    @Autowired
    private MockMvc mockMvc;
    @MockBean
    private AuthenticationService authenticationService;
    @Test
    public void testAuthenticateAndGenerateToken() throws Exception {
        LoginDTO loginDTO = new LoginDTO("user", "password");
        String token = authenticationService.authenticateAndGenerateToken(loginDTO);
        mockMvc.perform(MockMvcRequestBuilders.post("/login")
                .contentType(MediaType.APPLICATION_JSON)
                .content("{\\"userName\\":\\"user\\", \\"password\\":\\"password\\"}"))
                .andExpect(status().isOk())
                .andExpect(header().exists("Authorization"))
                .andExpect(content().string("Successfully Authenticated"));
    }
}

有关 Spring Security 自定义身份验证问题的常见问题

1. 为什么我设置了之后仍然收到 401 Unauthorized 错误 SecurityContextHolder？
2. 如果身份验证上下文不持久，通常会出现 401 错误。如果您的应用程序是无状态的，请确保您使用基于令牌的身份验证。
3. 如何在 Spring Security 中启用无状态会话管理？
4. 放 SessionCreationPolicy.STATELESS 在你的 SecurityFilterChain 确保每个请求都经过独立验证。
5. 的作用是什么 DaoAuthenticationProvider 在自定义身份验证中？
6. 这 DaoAuthenticationProvider 根据数据库验证用户凭据并对密码进行编码以进行安全身份验证。
7. 我可以在 Spring Security 中使用 JWT 令牌进行会话管理吗？
8. 是的，JWT 令牌非常适合无状态应用程序。身份验证后生成令牌并将其包含在后续请求的标头中。
9. CSRF 保护如何影响无状态 API？
10. CSRF 保护通常在无状态 API 中禁用，使用 csrf().disable() 因为对于没有会话的 API 来说这是不必要的。
11. 如果我想允许公共访问某些端点（例如登录或注册）怎么办？
12. 使用 authorizeHttpRequests 并指定无需身份验证即可访问的端点 permitAll()。
13. 如何使用 React 在客户端存储令牌？
14. 将令牌存储在 localStorage 或者 sessionStorage，然后将它们包含在每个请求的标头中，以确保后端可以验证每个请求。
15. 禁用 API 的 CSRF 安全吗？
16. 如果您的应用程序依赖于令牌或不使用 cookie，则禁用 API 的 CSRF 是安全的，因为 CSRF 主要防止基于 cookie 的攻击。
17. 的作用是什么 OncePerRequestFilter 在自定义身份验证中？
18. 该过滤器每个请求仅执行一次，确保身份验证逻辑一致应用，而无需在请求周期中进行冗余检查。
19. 为什么不同端点可能无法识别我的身份验证令牌？
20. 确保在每个请求的标头中设置令牌，并使用一致的令牌验证过程确认它在服务器上正确验证。
21. 如何测试我的 Spring Security 配置？
22. 使用 MockMvc 在测试中模拟请求，检查身份验证响应，并验证受保护的端点只能在登录后访问。

关于解决自定义 Spring Security 身份验证中的 401 错误的最终想法

使用自定义登录页面成功保护基于 Spring 的应用程序需要仔细配置，特别是在使用无状态会话或基于令牌的方法时。与 React 前端集成时，确保您的安全配置符合 RESTful、无状态原则可以帮助避免会话问题。

从修改 安全过滤链 设置来实现基于令牌的流程，每种方法都在创建可靠的身份验证设置中发挥着作用。通过了解会话管理、令牌处理和 SecurityContext，您将能够很好地解决 Spring Security 应用程序中的 401 未经授权错误。 🔒