我知道这个话题已经过时了，但我将给出另一种我已经发现并在这里描述过的方法。基本上，我使用的是ASP.MVC和WIF（但这对于本主题的上下文来说并不重要——无论使用哪种框架，答案都是足够的。线索保持不变——在执行ajax请求时处理与身份验证失败相关的问题）。

下面显示的方法可以应用于所有开箱即用的ajax请求（如果它们显然没有重新定义beforeEnd事件）。

$.ajaxSetup({
    beforeSend: checkPulse,
    error: function (XMLHttpRequest, textStatus, errorThrown) {
        document.open();
        document.write(XMLHttpRequest.responseText);
        document.close();
    }
});

在执行任何ajax请求之前，调用CheckPulse方法（可以是任何最简单的控制器方法）：

[Authorize]
public virtual void CheckPulse() {}

如果用户未经身份验证（令牌已过期），则无法访问该方法（受Authorize属性保护）。因为框架在令牌过期时处理身份验证，所以它将http状态302置于响应中。如果您不希望浏览器透明地处理302响应，请在Global.asax中捕获它，并将响应状态更改为200 OK。此外，添加header，它指示您以特殊方式处理此类响应（稍后在客户端）：

protected void Application_EndRequest()
{
    if (Context.Response.StatusCode == 302
        && (new HttpContextWrapper(Context)).Request.IsAjaxRequest())
    {                
        Context.Response.StatusCode = 200;
        Context.Response.AddHeader("REQUIRES_AUTH", "1");
    }
}

最后在客户端检查这样的自定义头。如果存在，则应该完成到登录页面的完全重定向（在我的情况下，window.location被来自请求的url替换，该url由我的框架自动处理）。

function checkPulse(XMLHttpRequest) {
    var location = window.location.href;
    $.ajax({
        url: "/Controller/CheckPulse",
        type: 'GET',
        async: false,
        beforeSend: null,
        success:
            function (result, textStatus, xhr) {
                if (xhr.getResponseHeader('REQUIRES_AUTH') === '1') {
                    XMLHttpRequest.abort(); // terminate further ajax execution
                    window.location = location;
                }
            }
    });
}

我认为更好的处理方法是利用现有的HTTP协议响应代码，特别是401未授权。

我是这样解决的：

服务器端：如果会话过期，请求为ajax。发送401响应代码头客户端：绑定到ajax事件$（'body'）.bind（'ajaxSuccess'，函数（事件，请求，设置）{if（401==请求状态）{window.location='/users/login'；}}).bind（'ajaxError'，函数（事件、请求、设置）{if（401==请求状态）{window.location='/users/login'；}});

IMO这是更通用的，您没有编写一些新的自定义规范/标题。您也不必修改任何现有的ajax调用。

编辑：根据@Rob下面的评论，401（验证错误的HTTP状态代码）应该是指示符。有关详细信息，请参阅403禁止与401未授权HTTP响应。尽管如此，一些web框架使用403来处理身份验证和授权错误，因此进行相应的调整。谢谢Rob。

在servlet中，您应该将response.setStatus（response.SC_MOVED_PERMANENTLY）；要发送重定向所需的“301”xmlHttp状态。。。

在$.ajax函数中，不应使用.toString（）函数。。。，只是

如果（xmlHttp.status==301）{top.location.href='xxxx.jsp'；}

问题是它不是很灵活，你无法决定要重定向到哪里。。

通过servlet重定向应该是最好的方法。但我仍然找不到正确的方法。

使用statusCode选项，如下所示，重定向通常是301、302状态代码。

$.ajax({
    type: <HTTP_METHOD>,
    url:  {server.url},
    data: {someData: true},
    statusCode: {
        301: function(responseObject, textStatus, errorThrown) {
            //yor code goes here
        },
        302: function(responseObject, textStatus, errorThrown) {
            //yor code goes here
        }           
    }
})
.done(function(data){
    alert(data);
})
.fail(function(jqXHR, textStatus){
    alert('Something went wrong: ' + textStatus);
})
.always(function(jqXHR, textStatus) {
   alert('Ajax request was finished')
});

我用@John和@Arpad链接以及@RobWinch链接的答案得到了一份工作解决方案

我使用Spring Security 3.2.9和jQuery 1.10.2。

扩展Spring的类以仅从AJAX请求引起4XX响应：

public class CustomLoginUrlAuthenticationEntryPoint extends LoginUrlAuthenticationEntryPoint {

    public CustomLoginUrlAuthenticationEntryPoint(final String loginFormUrl) {
        super(loginFormUrl);
    }

    // For AJAX requests for user that isn't logged in, need to return 403 status.
    // For normal requests, Spring does a (302) redirect to login.jsp which the browser handles normally.
    @Override
    public void commence(final HttpServletRequest request,
                         final HttpServletResponse response,
                         final AuthenticationException authException)
            throws IOException, ServletException {
        if ("XMLHttpRequest".equals(request.getHeader("X-Requested-With"))) {
            response.sendError(HttpServletResponse.SC_FORBIDDEN, "Access Denied");
        } else {
            super.commence(request, response, authException);
        }
    }
}

applicationContext-security.xml

  <security:http auto-config="false" use-expressions="true" entry-point-ref="customAuthEntryPoint" >
    <security:form-login login-page='/login.jsp' default-target-url='/index.jsp'                             
                         authentication-failure-url="/login.jsp?error=true"
                         />    
    <security:access-denied-handler error-page="/errorPage.jsp"/> 
    <security:logout logout-success-url="/login.jsp?logout" />
...
    <bean id="customAuthEntryPoint" class="com.myapp.utils.CustomLoginUrlAuthenticationEntryPoint" scope="singleton">
        <constructor-arg value="/login.jsp" />
    </bean>
...
<bean id="requestCache" class="org.springframework.security.web.savedrequest.HttpSessionRequestCache">
    <property name="requestMatcher">
      <bean class="org.springframework.security.web.util.matcher.NegatedRequestMatcher">
        <constructor-arg>
          <bean class="org.springframework.security.web.util.matcher.MediaTypeRequestMatcher">
            <constructor-arg>
              <bean class="org.springframework.web.accept.HeaderContentNegotiationStrategy"/>
            </constructor-arg>
            <constructor-arg value="#{T(org.springframework.http.MediaType).APPLICATION_JSON}"/>
            <property name="useEquals" value="true"/>
          </bean>
        </constructor-arg>
      </bean>
    </property>
</bean>

在我的JSP中，添加一个全局AJAX错误处理程序，如下所示

  $( document ).ajaxError(function( event, jqxhr, settings, thrownError ) {
      if ( jqxhr.status === 403 ) {
          window.location = "login.jsp";
      } else {
          if(thrownError != null) {
              alert(thrownError);
          } else {
              alert("error");
          }
      }
  });

此外，从JSP页面中的AJAX调用中删除现有的错误处理程序：

        var str = $("#viewForm").serialize();
        $.ajax({
            url: "get_mongoDB_doc_versions.do",
            type: "post",
            data: str,
            cache: false,
            async: false,
            dataType: "json",
            success: function(data) { ... },
//            error: function (jqXHR, textStatus, errorStr) {
//                 if(textStatus != null)
//                     alert(textStatus);
//                 else if(errorStr != null)
//                     alert(errorStr);
//                 else
//                     alert("error");
//            }
        });

我希望它能帮助其他人。

更新1我发现我需要将选项（始终使用默认target=“true”）添加到表单登录配置中。这是需要的，因为在AJAX请求被重定向到登录页面后（由于会话过期），Spring会记住之前的AJAX请求，并在登录后自动重定向到它。这将导致返回的JSON显示在浏览器页面上。当然，不是我想要的。

更新2不要总是使用默认target=“true”，而是使用@RobWinch示例来阻止来自requstCache的AJAX请求。这允许正常链接在登录后重定向到其原始目标，但AJAX在登录后会转到主页。

作为ajax的替代，正在开发一个新的Fetch API，它允许手动重定向处理。您需要检查当前的浏览器支持是否足以满足您的需要。