无法在 Java 中捕获异常

Question

我通过启发 Baeldung 的 Prevent Brute Force Authentication Attempts with Spring Security 页面，为我的登录服务实施了暴力阻止机制，如下所示：

@Service
@RequiredArgsConstructor
public class LoginServiceImpl implements LoginService {

    private final UserService userService;
    private final LoginAttemptService loginAttemptService;

    public UserTokenDTO login(final LoginRequest request) {        

        if(!user.isValid) {
            throw new InvalidCredentialsException();
        }
        // code omitted for brevity
    }
}

当用户未通过验证时，LoginService 会抛出 InvalidCredentialsException()，然后我试图在 AuthenticationFailureListener 类中捕获此异常：

@Component
public class AuthenticationFailureListener implements 
    ApplicationListener<AuthenticationFailureBadCredentialsEvent> {

    @Autowired
    private HttpServletRequest request;

    @Autowired
    private LoginAttemptService loginAttemptService;

    @Override
    public void onApplicationEvent(final AuthenticationFailureBadCredentialsEvent e) {
        final String xfHeader = request.getHeader("X-Forwarded-For");
        if (xfHeader == null) {
            loginAttemptService.loginFailed(request.getRemoteAddr());
        } else {
            loginAttemptService.loginFailed(xfHeader.split(",")[0]);
        }
    }
}

当出现错误时，会调用loginAttemptService.loginFailed() 方法。但是，我无法在onApplicationEvent() 中捕获异常。我尝试过使用不同的事件类型，但对于某些事件，例如ApplicationEvent 它在每个事件上触发，我应该仅在抛出 InvalidCredentialsException 时用户未通过身份验证时触发它。

进行搜索后，我发现我需要进行配置，以便 Spring Security 在失败或成功时捕获这些事件。但是定义不清楚，我想也许我可以通过在我的AuthenticationFailureListener 类中使用正确的事件类型来捕捉事件。我也有一个事件处理程序类，但我不确定它是否有帮助。

更新：这是我的SecurityConfig。我仍然无法触发AuthenticationFailureBadCredentialsEvent，也无法获得任何异常onApplicationEvent。

@EnableWebSecurity
@AllArgsConstructor
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Bean
    AuthenticationFailureHandler eventAuthenticationFailureHandler() {
        return new CustomAuthenticationFailureHandler();
    }

    private final AuthenticationFailureHandler eventAuthenticationFailureHandler;

    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
                .formLogin().failureHandler(eventAuthenticationFailureHandler)
                .and()
                .httpBasic();
    }
}

Answer 1

正如this answer中所写：

如果身份验证成功，将通过应用程序上下文发布一个 InteractiveAuthenticationSuccessEvent。 如果身份验证不成功，则不会发布任何事件，因为这通常会通过 AuthenticationManager 特定的应用程序事件进行记录。