对于java配置，您需要执行以下操作

http.exceptionHandling().authenticationEntryPoint(alwaysSendUnauthorized401AuthenticationEntryPoint);

其中alwaysSendUnauthorized401身份验证入口点是类的示例

public class AlwaysSendUnauthorized401AuthenticationEntryPoint implements AuthenticationEntryPoint {
    @Override
    public final void commence(HttpServletRequest request, HttpServletResponse response,
                               AuthenticationException authException) throws IOException {
        LOGGER.debug("Pre-authenticated entry point called. Rejecting access");
        response.sendError(HttpServletResponse.SC_UNAUTHORIZED);
    }
}

这将禁用Spring的默认行为（将未经身份验证的请求重定向到登录窗体）。
附带说明：对于这种情况，HTTP代码 SC_UNAUTHORIZED（401） 比 SC_FORBIDDEN（403） 更好。

Spring论坛here上有一篇文章概述了如何让你的应用在这两种方法之间进行判断。

<bean id="ep403" class="org.springframework.security.web.authentication.Http403ForbiddenEntryPoint"/>

<sec:http pattern="/data/**" entry-point-ref="ep403" use-expressions="true">
    <sec:intercept-url pattern="/**" access="isAuthenticated()"/>
</sec:http>

<bean id="epauth" class="org.springframework.security.web.authentication.LoginUrlAuthenticationEntryPoint">
    <constructor-arg value="/login.html"/>
</bean>

<sec:http pattern="/**" entry-point-ref="epauth" use-expressions="true">
    <sec:intercept-url pattern="/**" access="isAuthenticated()"/>
</sec:http>

因此，我所链接的文章中的整个DelegatingAuthenticationEntryPoint解决方案有点重量级，但我认为它也能很好地完成这项工作。

您需要

• 创建一个RequestMatcher来确定哪些请求应该得到403（AntPathRequestMatcher在您的情况下可能足够了）。
• 将HttpSessionRequestCache配置为检查匹配器，并且不存储这些页面用于登录后重定向。
• 使用DelegatingAuthenticationEntryPoint直接对请求进行403处理，或者根据匹配器重定向到登录。

请参见此处的示例：
http://distigme.wordpress.com/2012/11/01/ajax-and-spring-security-form-based-login/

此解决方案对我很有效（reference）

http
  ...
  .oauth2Login().permitAll()
  .and().exceptionHandling()
  .defaultAuthenticationEntryPointFor(
       new HttpStatusEntryPoint(HttpStatus.UNAUTHORIZED),
       new RequestHeaderRequestMatcher("X-Requested-With", "XMLHttpRequest"))
            ...

它应该返回403错误，除非您将其配置为转到具有以下标记的另一个URL：

<sec:access-denied-handler error-page="/urlToGoIfForbidden" />