Java中实现用户密码连续输错锁定需记录失败次数、判断阈值并抛出AccountLockedException；Spring Security提供该异常但需自定义UserDetails和AuthenticationProvider逻辑，配合isAccountNonLocked()返回真实锁定状态，并在全局异常处理器中统一提示。
Java中实现用户密码连续输错锁定并抛出 AccountLockedException，核心在于记录失败次数、判断阈值、控制账户状态，并在条件满足时主动抛出该异常。Spring Security 默认支持这一机制，但需正确配置和使用。
启用 Spring Security 的账户锁定功能
Spring Security 本身不直接提供 AccountLockedException 的自动抛出逻辑，但它定义了该异常（属于 AuthenticationException 子类），并允许你集成自定义的锁定策略。关键步骤包括：
- 确保项目引入了
spring-security-core（通常已包含） - 自定义
UserDetails实现，添加locked、failedLoginCount、lockTime等字段 - 在登录认证流程（如
AuthenticationProvider或UserDetailsService）中检查并更新失败次数 - 当失败次数 ≥ 阈值（如 5 次），且账户未解锁，就抛出
AccountLockedException("账户已被锁定")
在 AuthenticationProvider 中实现锁定逻辑
推荐在自定义 AuthenticationProvider 的 authenticate() 方法中处理。示例关键逻辑：
- 根据用户名查出用户（含失败次数、锁定状态、最后失败时间）
- 若账户已锁定，检查是否过期（如锁定 30 分钟）；未过期则直接抛出
AccountLockedException - 若密码错误，更新失败次数并保存；达到阈值则设置
locked = true、记录lockTime - 若密码正确，重置失败次数为 0，清除锁定状态
配合 UserDetails 正确返回锁定状态
UserDetails 接口的 isAccountNonLocked() 方法必须真实反映数据库中的锁定状态。否则 Spring Security 的默认检查会失效：
立即学习“Java免费学习笔记（深入）”；
- 在你的
UserDetails实现类中，重写该方法，读取数据库或缓存中的locked字段 - 不要硬编码返回
true；否则即使数据库标记锁定，认证仍会通过 - 如果使用 JPA，可将
locked映射为布尔字段，并在isAccountNonLocked()中直接返回!locked
注意异常捕获与前端提示
抛出 AccountLockedException 后，需确保它能被统一异常处理器捕获并返回友好信息：
- 在全局异常处理类（如
@ControllerAdvice）中增加对AccountLockedException的处理 - 返回明确提示，如 “登录失败次数过多，账户已被锁定，请稍后再试”
- 避免泄露细节（如“还剩 X 次机会”或“锁定至 XX 时间”），防止被暴力探测利用
