学习本章之前，可以先了解下上篇Spring Security认证配置(二)
本篇想要达到这样几个目的：
1、登录成功处理
2、登录失败处理
3、调用方自定义登录后处理类型
具体配置代码如下：
spring-security-browser
登录成功处理：
/**
* 自定义登录成功后处理
*/
@Slf4j
@Component
public class LoginSuccessHandler implements AuthenticationSuccessHandler { @Autowired
private ObjectMapper objectMapper; @Override
public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response,
Authentication authentication) throws IOException, ServletException {
log.info("登录成功..."); response.setContentType("application/json;charset=UTF-8");
// 返回authentication 认证信息
response.getWriter().write(objectMapper.writeValueAsString(authentication));
} }
这段配置表示，登录成功后，会向response中塞入authentication对象
代码解析：
点开 AuthenticationSuccessHandler 类，可以看到里面只有一个onAuthenticationSuccess方法，如下：
在onAuthenticationSuccess方法中，有个Authentication对象，其用法可参考AuthenticationManager、ProviderManager
登录失败处理：
/**
* 自定义登录失败后处理
*/
@Slf4j
@Component
public class LoginFailureHandler implements AuthenticationFailureHandler { @Autowired
private ObjectMapper objectMapper; @Override
public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response,
AuthenticationException exception) throws IOException, ServletException {
log.info("登录失败"); response.setStatus(HttpStatus.INTERNAL_SERVER_ERROR.value()); // 服务器内部异常500
response.setContentType("application/json;charset=UTF-8");
// 返回异常信息
response.getWriter().write(objectMapper.writeValueAsString(exception));
} }
这段配置表示，登录失败后，会向response中塞入AuthenticationException 对象，并返回500状态码
代码解析：
在 AuthenticationFailureHandler 中也只有一个onAuthenticationFailure方法，其入参 AuthenticationException 是认证授权过程中抛出的异常类的基类，
有以下几个子类：
比较常用的是 BadCredentialsException(密码错误)、UsernameNotFoundException(用户名找不到)等等
修改下SecurityConfig类中的配置：
@Autowired
private SecurityProperty securityProperty; @Autowired
private LoginSuccessHandler loginSuccessHandler; //登录成功处理 @Autowired
private LoginFailureHandler loginFailureHandler; //登录失败处理 @Override
protected void configure(HttpSecurity http) throws Exception {
// formLogin()是默认的登录表单页，如果不配置 loginPage(url)，则使用 spring security
// 默认的登录页，如果配置了 loginPage()则使用自定义的登录页
http.formLogin() // 表单登录
.loginPage(SecurityConst.AUTH_REQUIRE)
.loginProcessingUrl(SecurityConst.AUTH_FORM) // 登录请求拦截的url,也就是form表单提交时指定的action
.successHandler(loginSuccessHandler)
.failureHandler(loginFailureHandler)
.and()
.authorizeRequests() // 对请求授权
.antMatchers(SecurityConst.AUTH_REQUIRE, securityProperty.getBrowser().getLoginPage()).permitAll() // 允许所有人访问login.html和自定义的登录页
.anyRequest() // 任何请求
.authenticated()// 需要身份认证
.and()
.csrf().disable() // 关闭跨站伪造
;
}
启动服务，访问 http://localhost:18081/index.html，跳转到登录页，输入正确的用户名密码(xwj/1234)，跳转到如下页面：
查看控制台，可以看到Authentication对象包含的数据：
清掉浏览器缓存，然后再输入错误的密码，跳转到如下页面：
查看控制台，可以看到AuthenticationException对象包含的数据：
上面配置了登录成功和失败的处理，但是只能够返回JSON格式的数据。如果希望返回一个页面或者是跳转，那就可以使用Security默认的处理方式
在Security中，默认的成功跟失败处理分别是 SavedRequestAwareAuthenticationSuccessHandler 与 SimpleUrlAuthenticationFailureHandler
通过分析 AbstractAuthenticationProcessingFilter 类，可以看到：
在服务启动时，如果在我们的配置类中，没有配置这AuthenticationSuccessHandler跟AuthenticationFailureHandler，则使用这两个默认的。如果配置了，则使用配置中
定义的登录处理类。打个断点可以看到：
修改下上面的配置代码：
spring-security-browser
为了达到调用方自定义跳转方式，增加配置类，如下：
/**
* 登录类型枚举
*/
public enum LoginType { REDIRECT, JSON }
修改BrowserProperty，增加默认的登录类型(JSON)：
@Getter
@Setter
public class BrowserProperty { private String loginPage = "/login.html"; // 登录页 private LoginType loginType = LoginType.JSON; //登录类型 }
接下来修改登录与失败处理类：
/**
* 自定义登录成功后处理
* (继承SavedRequestAwareAuthenticationSuccessHandler，这是默认的成功处理器，其带有requestCache)
*/
@Slf4j
@Component
public class LoginSuccessHandler extends SavedRequestAwareAuthenticationSuccessHandler { @Autowired
private ObjectMapper objectMapper; @Autowired
private SecurityProperty securityProperty; @Override
public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response,
Authentication authentication) throws IOException, ServletException {
log.info("登录成功..."); if (LoginType.JSON.equals(securityProperty.getBrowser().getLoginType())) { // json请求(如ajax)
response.setContentType("application/json;charset=UTF-8");
// 返回authentication 认证信息
response.getWriter().write(objectMapper.writeValueAsString(authentication));
} else { // 跳转
super.onAuthenticationSuccess(request, response, authentication);
}
} }
/**
* 自定义登录失败后处理
* (继承SimpleUrlAuthenticationFailureHandler，这是默认的失败处理器)
*/
@Slf4j
@Component
public class LoginFailureHandler extends SimpleUrlAuthenticationFailureHandler { @Autowired
private ObjectMapper objectMapper; @Autowired
private SecurityProperty securityProperty; @Override
public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response,
AuthenticationException exception) throws IOException, ServletException {
log.info("登录失败"); if (LoginType.JSON.equals(securityProperty.getBrowser().getLoginType())) { // json请求(如ajax)
response.setStatus(HttpStatus.INTERNAL_SERVER_ERROR.value()); // 服务器内部异常500
response.setContentType("application/json;charset=UTF-8");
// 返回异常信息
response.getWriter().write(objectMapper.writeValueAsString(exception));
} else {
super.onAuthenticationFailure(request, response, exception);
}
} }
spring-security-demo
在配置文件(application.yml)中，加上：
security:
browser:
#loginPage: /plogin.html
loginType: REDIRECT
重新启动服务，访问 http://localhost:18081/index.html，跳转到登录页，输入正确的用户名密码(xwj/1234)，跳转到具体的页面：
清掉浏览器缓存，然后再输入错误的密码，跳转到如下页面：
从上面可以看到，返回401状态码，类型为Unauthorized，表示未认证。这里的????其实是认证失败原因，打个断点可以看到：
抛出了BadCredentialsException异常，"坏的凭证"表示密码错误