当 Spring SecurityContextHolder 在 getPrincipal 上返回 null 时，应该抛出哪个异常？

Question

哪个异常最适合描述 RESTful 设计中缺少 Spring Security Principal，例如，当我从 SecurityContextHolder.getContext().getAuthentication().getPrincipal() 获取 Principal 时得到 null？

我有一个带有自定义授权服务的项目，其中一部分需要有关已登录的委托人以及他拥有哪些权限的信息。

一些（但不是全部）REST 端点也受到 Spring Security 的保护。

然而系统变得越来越大并且可能发生错误，未经授权的用户将通过控制器层，并试图通过自定义授权服务访问受保护的数据。

一方面，最适合的异常似乎是AccessDeniedException（Http 403），但另一方面，抛出 500 或 404 以“隐藏”请求的存在可能是一种更安全的方法资源。

我想到了以下例外：

• HttpStatus: 500 由org.springframework.security.access.AuthorizationServiceException 引起
• HttpStatus: 403 org.springframework.security.access.AccessDeniedException
• HttpStatus: 500 caused by java.lang.IllegalStateException
• HttpStatus: 500 caused by java.lang.NullPointerException

我不相信哪种方法更好 - 禁止、隐藏或抛出内部服务器错误。

Answer 1

如果您使用的是 Spring Security 和自定义授权服务，您可能会遇到这样的情况：

@Component
public class CustomAccessDeniedHandler extends AccessDeniedHandlerImpl {
    private final String HOME_PAGE = "/index.html";

    @Override
    public void handle(HttpServletRequest request, HttpServletResponse response, AccessDeniedException e) throws IOException, ServletException {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();

        if (auth != null) {

            if (auth instanceof AnonymousAuthenticationToken) {
                response.sendRedirect("/#/login");
                super.handle(request, response, e);
                return;
            }

            if (auth.getAuthorities().iterator().next().getAuthority().equals("ROLE_EMPLOYEE") || auth.getAuthorities().iterator().next().getAuthority().equals("ROLE_ADMIN") ) {
                 response.sendRedirect("/dashboard/Dashboard.xhtml");
                 super.handle(request, response, e);
                 return;
            }     
             response.sendRedirect("/#/dashboard/user");        
        }
        super.handle(request, response, e);
    }
}  

在您的情况下，在应用程序中，我宁愿建议重定向到登录屏幕 - 如上所示 - 并带有类似 Please log in 的消息。

在 API 中，我会返回 404 - Resource not found 响应。