Spring Security登录页陷入重定向循环问题求助

你遇到的重定向循环，核心原因基本是设备指纹过滤器误拦截了/login请求——用户还没登录时访问/login，过滤器校验失败，Spring Security又把请求重定向回/login，反复触发就形成了循环。哪怕你做了排除，大概率是排除规则没生效，或者过滤器在Security链里的位置不对。

1. 强制让/login跳过设备指纹校验 #

不管是在过滤器注册时，还是过滤器内部逻辑里，都要明确放行/login：

// SecurityConfig里注册过滤器时，先放行/login路径
@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/login").permitAll() // 必须明确放行登录页
            .antMatchers("/api/auth/authtest").authenticated()
            .anyRequest().authenticated()
        .and()
        .formLogin()
            .permitAll()
        .and()
        .addFilterAfter(deviceFingerprintFilter(), UsernamePasswordAuthenticationFilter.class);
}

// 同时在DeviceFingerprintFilter里加判断，直接跳过/login请求
@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
    String requestUri = request.getRequestURI();
    if ("/login".equals(requestUri)) {
        filterChain.doFilter(request, response);
        return;
    }
    // 你的设备指纹校验逻辑
    // ...
}

2. 调整过滤器在Security链中的位置 #

把设备指纹过滤器放在UsernamePasswordAuthenticationFilter之后，这样登录请求会先完成认证，后续需要认证的请求才会走设备指纹校验，完全符合你“校验所有需要认证的请求”的需求，也不会拦截登录请求。

3. 修正设备指纹校验的触发逻辑 #

只对已认证的用户做校验，避免未登录状态下触发校验导致重定向：

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
    Authentication auth = SecurityContextHolder.getContext().getAuthentication();
    // 只有用户已登录（不是匿名身份）才校验设备指纹
    if (auth != null && auth.isAuthenticated() && !(auth instanceof AnonymousAuthenticationToken)) {
        boolean fingerprintValid = validateDeviceFingerprint(request);
        if (!fingerprintValid) {
            // 校验失败直接返回403，别重定向到login
            response.sendError(HttpServletResponse.SC_FORBIDDEN, "设备指纹不匹配");
            return;
        }
    }
    filterChain.doFilter(request, response);
}

4. 检查排除规则的准确性 #

确认你配置的排除路径和实际请求路径完全一致——比如如果项目有上下文路径，要加上上下文路径（比如/your-app/login），或者用request.getServletPath()来判断路径，避免URI带上下文导致匹配失败。

看日志里每次重定向的请求URL，以及设备指纹过滤器是否处理了这些请求。如果日志显示过滤器拦截了/login请求，说明排除规则没生效，重点检查过滤器的拦截范围和路径匹配逻辑。

内容的提问来源于stack exchange，提问作者Zakaria