Comment faire pour que Spring-Security renvoie une réponse 401 en format JSON?

la solution que j'ai choisie, bien que pas tout à fait agréable (j'espère que si vous obtenez une meilleure réponse, je vais changer mon approche) est de gérer l'erreur cartographie du Web.xml-j'ai ajouté ce qui suit, qui va remplacer les pages d'erreur tomcat par défaut avec des mappages D'URL spécifiques:

<error-page>
    <error-code>404</error-code>
    <location>/errors/resourcenotfound</location>
</error-page>
<error-page>
    <error-code>403</error-code>
    <location>/errors/unauthorised</location>
</error-page>
<error-page>
    <error-code>401</error-code>
    <location>/errors/unauthorised</location>
</error-page>

maintenant, si une page renvoie un 404, Il est géré par mon contrôleur d'erreur quelque chose comme ceci:

@Controller
@RequestMapping("/errors")
public class ApplicationExceptionHandler {


    @ResponseStatus(HttpStatus.NOT_FOUND)
    @RequestMapping("resourcenotfound")
    @ResponseBody
    public JsonResponse resourceNotFound(HttpServletRequest request, Device device) throws Exception {
        return new JsonResponse("ERROR", 404, "Resource Not Found");
    }

    @ResponseStatus(HttpStatus.UNAUTHORIZED)
    @RequestMapping("unauthorised")
    @ResponseBody
    public JsonResponse unAuthorised(HttpServletRequest request, Device device) throws Exception {
        return new JsonResponse("ERROR", 401, "Unauthorised Request");
    }
}

tout semble encore assez sombre - et bien sûr est un traitement global des erreurs - donc si vous ne vouliez pas toujours une réponse 404 pour être json (si vous serviez une webapp normale de la même application) alors il ne fonctionne pas si bien. Mais comme je l'ai dit, c'est ce que j'ai décidé d'aller de l'avant, en espérant qu'il y ait un meilleur moyen!

Vous devriez regarder dehors pour mettre le code d'erreur dans ResponseEntity, comme ci-dessous:

new ResponseEntity<String>(err, HttpStatus.UNAUTHORIZED);

j'ai résolu cela en implémentant ma propre version de HandlerExceptionResolver et sous-classement DefaultHandlerExceptionResolver. Il a fallu un peu pour résoudre ce problème et vous devez outrepasser la plupart des méthodes, bien que ce qui suit a fait exactement ce que je suis après.

tout d'abord, l'essentiel est de créer une implémentation.

public class CustomHandlerExceptionResolver extends DefaultHandlerExceptionResolver {
    private final ObjectMapper om;
    @Autowired
    public CustomHandlerExceptionResolver(ObjectMapper om) {
        this.om = om;
        setOrder(HIGHEST_PRECEDENCE);
    }
    @Override
    protected boolean shouldApplyTo(HttpServletRequest request, Object handler) {
        return request.getServletPath().startsWith("/api");
    }
}

et maintenant enregistrez-le dans le contexte de votre servlet.

cela ne fait maintenant rien de différent, mais qui sera le premier HandlerExceptionResolver pour être jugé et correspondent à toute demande de départ avec un chemin de contexte de /api (note: vous pouvez configurer ce paramètre).

ensuite, nous pouvons maintenant remplacer n'importe quelle méthode qui rencontre des erreurs de spring sur, il y en a 15 sur mon compte.

ce que j'ai trouvé c'est que je peux écrire directement à la réponse et retourner un empty ModelAndView objet ou de retourner la valeur null si ma méthode n'a pas finalement gérer la faille qui provoque l'essai du résolveur d'exception suivant.

à titre d'exemple pour traiter les situations où un défaut de reliure de requête est survenu, j'ai fait ce qui suit:

@Override
protected ModelAndView handleServletRequestBindingException(ServletRequestBindingException ex, HttpServletRequest request, HttpServletResponse response, Object handler) throws IOException {
    ApiError ae = new ApiError(request.getRequestURI(), ex, HttpServletResponse.SC_BAD_REQUEST);
    response.setStatus(ae.getStatusCode());
    om.writeValue(response.getOutputStream(), ae);
    return new ModelAndView();
}

le seul inconvénient ici est que parce que j'écris au flux moi-même, je n'utilise pas de convertisseurs de messages pour gérer l'écriture de la réponse, donc si je voulais prendre en charge XML et les API JSON en même temps, ce ne serait pas possible, heureusement, je suis seulement intéressé à soutenir JSON, mais cette même technique pourrait être améliorée pour utiliser des résolveurs de vue pour déterminer ce qu'il faut rendre dans etc.

si quelqu'un a une meilleure approche, je serais toujours intéressé à savoir comment faire face à cela.

Simplement attraper l'exception dans votre contrôleur et de retourner la réponse que vous souhaitez envoyer.

   try {
    // Must be called from request filtered by Spring Security, otherwise SecurityContextHolder is not updated
    UsernamePasswordAuthenticationToken token = new UsernamePasswordAuthenticationToken(username, password);
    token.setDetails(new WebAuthenticationDetails(request));
    Authentication authentication = this.authenticationProvider.authenticate(token);
    logger.debug("Logging in with [{}]", authentication.getPrincipal());
    SecurityContextHolder.getContext().setAuthentication(authentication);
} catch (Exception e) {
    SecurityContextHolder.getContext().setAuthentication(null);
    logger.error("Failure in autoLogin", e);
}