我们正在使用 spring MVC + spring security + hibernate 创建一个 RESTful API。API 可以生成 JSON 和 HTML。为 Spring Security 做好错误处理让我很头疼：
身份验证可以通过多种方式进行：BasicAuth、通过 POST 请求中的不同参数以及通过 Web 登录。对于每个身份验证机制，<http>在 spring security xml 配置的命名空间元素中声明了一个过滤器。
我们在 custom 中处理所有的 spring 异常HandlerExceptionResolver。这适用于我们控制器中抛出的所有异常，但我不知道如何处理自定义弹簧安全过滤器中抛出的自定义异常。由于 spring 安全过滤器出现在我们的任何控制器被调用之前，我们看不到我们在自定义 spring 安全过滤器中抛出的异常。
我在 stackoverflow 上发现了这个问题：
Use custom exceptions in Spring Security。但是我不明白他们在哪里处理那里抛出的异常。我们尝试了这种方法，但HandlerExceptionResolver没有调用我们的自定义。相反，用户会看到由 tomcat 呈现的丑陋的堆栈跟踪。
我们为什么需要这个？
可以激活和停用用户。如果它们被停用并尝试执行某些操作，我们希望返回带有自定义错误消息的 JSON。这应该与 spring security 抛出AccessDeniedException. AccessDeniedException不知何故，它是我们的，HandlerExceptionResolver但我无法准确地理解。
可能的解决方案
我们考虑过使用ExceptionTranslationFilter，但是当我们抛出自定义异常时不会调用它（在 doFilter() 方法的 catch 语句中设置断点）。在我的理解中，应该调用这个 catch 块并且应该使用一个身份验证入口点。
另一种可能性：我们可以做一些类似于ExceptionTranslationFilterspring 安全过滤器链中的事情，并做一些类似于它AccessDeniedHandler所做的事情：
RequestDispatcher dispatcher = request.getRequestDispatcher(errorPage);
dispatcher.forward(request, response);
我们可以在请求中添加一些参数（错误代码、原因等），并让它指向一个控制器，该控制器将负责 JSON 或 HTML 的呈现。
这是我们配置的简短摘录：
弹簧安全：
<http create-session="stateless" use-expressions="true" >
<!-- Try getting the authorization object from the request parameters. -->
<security:custom-filter ref="filter1" after="SECURITY_CONTEXT_FILTER"/>
<security:custom-filter ref="filter2" before="LOGOUT_FILTER"/>
<!-- Intercept certain URLS differently -->
<intercept-url pattern="/admin/**" access="hasRole('ROLE_ADMIN')" />
<!-- Some more stuff here -->
<intercept-url pattern="/**" access="denyAll" />
<http-basic />
</http>
HandlerExceptionResolver 的 AppConfig
@Bean
public HandlerExceptionResolver handlerExceptionResolver(){
logger.info("creating handler exception resolver");
return new AllExceptionHandler();
}
我们自定义的 HandlerExceptionResolver
public class AllExceptionHandler implements HandlerExceptionResolver {
private static final Logger logger = LoggerFactory
.getLogger(AppConfig.class);
@Override
public ModelAndView resolveException(HttpServletRequest request,
HttpServletResponse response, Object handler, Exception ex) {
// This is just a snipped of the real method code
return new ModelAndView("errorPage");
}
我们过滤器之一的相关部分：
try {
Authentication authResult = authenticationManger.authenticate(authRequest);
SecurityContextHolder.getContext().setAuthentication(authResult);
}
catch(AuthenticationException failed) {
SecurityContextHolder.clearContext();
throw failed;
}
Web.xml
<?xml version="1.0" encoding="UTF-8"?>
<web-app version="3.0" xmlns="http://java.sun.com/xml/ns/javaee"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd">
<context-param>
<param-name>contextClass</param-name>
<param-value>org.springframework.web.context.support.AnnotationConfigWebApplicationContext</param-value>
</context-param>
<context-param>
<param-name>contextConfigLocation</param-name>
<param-value>xxx.xxx.xxx.config</param-value>
</context-param>
<context-param>
<param-name>spring.profiles.default</param-name>
<param-value>LIVE</param-value>
</context-param>
<listener>
<listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
</listener>
<servlet>
<servlet-name>appServlet</servlet-name>
<servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
<init-param>
<param-name>contextConfigLocation</param-name>
<param-value></param-value>
</init-param>
<load-on-startup>1</load-on-startup>
<!-- Add multipart support for files up to 10 MB -->
<multipart-config>
<max-file-size>10000000</max-file-size>
</multipart-config>
</servlet>
<servlet-mapping>
<servlet-name>appServlet</servlet-name>
<url-pattern>/</url-pattern>
</servlet-mapping>
<filter>
<filter-name>openEntityManagerInViewFilter</filter-name>
<filter-class>org.springframework.orm.jpa.support.OpenEntityManagerInViewFilter</filter-class>
</filter>
<filter-mapping>
<filter-name>openEntityManagerInViewFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
<filter>
<filter-name>springSecurityFilterChain</filter-name>
<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>
<!-- Map filters -->
<filter-mapping>
<filter-name>springSecurityFilterChain</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
<error-page>
<error-code>404</error-code>
<location>/handle/404</location>
</error-page>
</web-app>
有没有人对我们如何解决这个问题有任何指示？我浏览了谷歌上的许多文章，其中大多数描述了当没有过滤器能够对请求进行身份验证时如何处理 Spring Security 抛出的 AccessDeniedException。
我们正在使用 Spring Security 3.1.0 和 spring web mvc 3.1.0。