Angular+Spring Boot前端登录权限控制：Redis查询VS自定义Cookie？

1. 直接查询Redis的问题 #

频繁调用Redis校验会话确实会带来性能压力——如果前端每次路由切换、页面刷新都发起查询，高并发场景下Redis很容易成为瓶颈。
如果你坚持用这个方案，必须做两个优化：

• 本地缓存兜底：在Spring Boot里用Caffeine实现本地缓存，把会话状态缓存5-10秒，大部分请求不用碰Redis。
• 接口限流：给校验接口加限流规则，防止恶意请求刷接口拖垮Redis。
  另外要注意跨域配置，确保Angular前端能携带SESSION Cookie调用这个接口。

2. 新增认证标识Cookie（更推荐） #

这是更高效的方案，前端直接读取Cookie判断状态，不需要每次请求后端，完全避免Redis过载问题。
实施要点：

• 只存非敏感标识：Cookie里只放类似is_authenticated=true的布尔值，不要存用户ID、角色等敏感信息，也不要设HttpOnly（让前端能读取）。
• 同步会话生命周期：登录成功时创建Cookie，注销或会话过期时删除。可以在Spring Security的AuthenticationSuccessHandler和LogoutSuccessHandler里处理。
• 安全配置：生产环境设置Secure=true（配合HTTPS）、SameSite=Lax防止CSRF攻击。
• 核心原则：前端的显示隐藏只是界面优化，真正的权限校验必须在后端接口做（比如用@PreAuthorize注解），别指望前端控制能防住恶意请求。

3. 折中方案：状态接口+多级缓存 #

如果不想加额外Cookie，就做一个/api/auth/status接口返回极简认证状态，同时在后端做多级缓存：

• 本地缓存优先：用Caffeine缓存10秒，减少Redis查询。
• Redis缓存兜底：本地缓存失效时查Redis，再更新本地缓存。
• 前端按需调用：初始化时查一次，或者每隔30秒轮询，路由切换时按需调用，别太频繁。

代码示例（新增Cookie方案） #

Spring Security登录成功添加Cookie #

@Component
public class CustomAuthSuccessHandler implements AuthenticationSuccessHandler {
    @Override
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication auth) throws IOException {
        Cookie authCookie = new Cookie("is_authenticated", "true");
        authCookie.setPath("/");
        authCookie.setSecure(true); // 生产环境HTTPS下启用
        authCookie.setSameSite("Lax");
        authCookie.setMaxAge(3600); // 和SESSION超时时间保持一致
        response.addCookie(authCookie);

        response.setStatus(HttpServletResponse.SC_OK);
        response.getWriter().write("{\"msg\":\"登录成功\"}");
    }
}

注销时删除Cookie #

@Component
public class CustomLogoutSuccessHandler implements LogoutSuccessHandler {
    @Override
    public void onLogoutSuccess(HttpServletRequest request, HttpServletResponse response, Authentication auth) throws IOException {
        Cookie authCookie = new Cookie("is_authenticated", null);
        authCookie.setPath("/");
        authCookie.setMaxAge(0);
        response.addCookie(authCookie);

        response.setStatus(HttpServletResponse.SC_OK);
        response.getWriter().write("{\"msg\":\"注销成功\"}");
    }
}

Angular前端读取Cookie #

// 工具函数：获取指定Cookie
private getCookie(name: string): string | null {
  const cookieStr = "; " + document.cookie;
  const parts = cookieStr.split(`; ${name}=`);
  if (parts.length === 2) {
    return parts.pop()?.split(";").shift() || null;
  }
  return null;
}

// 判断是否已登录
isAuthenticated(): boolean {
  return this.getCookie("is_authenticated") === "true";
}

重要提醒 #

不管选哪种方案，前端的权限控制只能用来优化用户体验，后端接口必须做严格的权限校验。比如就算前端隐藏了某个管理链接，用户如果直接调用后端接口，后端要能识别未授权请求并拒绝，这才是安全的核心。

内容的提问来源于stack exchange，提问作者AlefMemTav