spring security中配置了AccessDeniedHandler没有生效问题

版本：

spring security 2.1.0.RELEASE

 

出现情况的配置：

在接口中增加了注解：

@PreAuthorize("hasRole('ROLE_AAA')")
@RequestMapping("/hello0")
public String hello(){
    return "HELLO";
}

 

在WebSecurityConfigurerAdapter配置了代码：

http.exceptionHandling()
                .authenticationEntryPoint(this.securityAuthenticateFailureHandler)
                .accessDeniedHandler(this.securityAccessDeniedHandler);

http.cors().and()
                // 访问所有的URL都需要登录
                .anyRequest().authenticated();

访问接口:/hello0, 报无法访问错误，没有执行设置的accessDeniedHandler

 

原因：@PreAuthorize 注解的异常，抛出AccessDeniedException异常，不会被accessDeniedHandler捕获，而是会被全局异常捕获。

示例代码：

@RestControllerAdvice
public class GlobalExceptionHandler {

    // 会执行该方法
    @ExceptionHandler(AccessDeniedException.class)
    public BaseResponse handleAccessDeniedException(AccessDeniedException e){
        return BaseResponse.failure(403, "无权限访问该接口");
    }

}

如果需要被accessDeniedHandler捕获处理，则需要代码这么写：

http.cors().and()
                .authorizeRequests().antMatchers("/hello0").permitAll()

                注意hasRole ，如果出现异常，
                会调用设置的accessDeniedHandler方法，

                .antMatchers("/hello0").hasRole("AAA")

                .anyRequest().authenticated();