Spring Boot Security授权后仍停留在登录页且无错误提示排查

输入用户名和密码点击登录按钮后，页面仅发生刷新，无任何错误提示，结合代码和日志分析，问题出在以下几个配置点：

1. 无状态会话与表单登录的冲突 #

在SecurityFilterChain配置中设置了：

http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);

表单登录依赖HTTP会话保存认证状态，设置为STATELESS后，认证成功后无法创建会话存储用户信息，导致后续请求仍被判定为未认证，被重定向回登录页，表现为页面刷新。

2. 自定义认证成功处理器未生效且逻辑不完整 #

• 自定义了Securityhandler实现AuthenticationSuccessHandler，但在filterChain配置中使用的是手动创建的SimpleUrlAuthenticationSuccessHandler，并未注入自定义的Securityhandler Bean，导致角色跳转逻辑完全未生效。
• 即使自定义处理器被使用，当前代码仅对ROLE_ADMIN角色做了跳转处理，非ADMIN角色没有任何响应逻辑，会导致请求无响应，最终超时后回到登录页。

3. 认证失败提示无法正常显示 #

当前登录页依赖${param.error}显示错误，但会话无法创建时，认证失败的参数无法传递，导致错误提示不显示。

修复方案 #

步骤1：调整会话策略 #

表单登录需依赖会话保存状态，移除或修改无状态配置，改为默认的IF_REQUIRED：

// 移除原有STATELESS配置，或修改为如下
http.sessionManagement()
    .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED);
// 也可直接删除这段配置，Spring Security默认即为IF_REQUIRED

步骤2：启用并完善自定义认证成功处理器 #

在WebSecurityConfig中注入自定义的Securityhandler，替换原有的successHandler配置：

@Autowired
private Securityhandler securityhandler;

// 修改filterChain中的formLogin段
.formLogin()
    .loginPage("/login")
    .successHandler(securityhandler) // 使用自定义处理器
    .usernameParameter("u")
    .passwordParameter("p")
    .permitAll()

同时完善Securityhandler的逻辑，处理非ADMIN角色的跳转，避免无响应：

@Component
public class Securityhandler implements AuthenticationSuccessHandler{
    @Override
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException  {
        Set<String> roles = AuthorityUtils.authorityListToSet(authentication.getAuthorities());
        if (roles.contains("ROLE_ADMIN")) {
            response.sendRedirect("/regulatoryform/list.html");
        } else {
            // 其他角色跳转至默认页面
            response.sendRedirect("/regulatoryform/");
        }
    }
}

步骤3：确保认证失败提示正常显示 #

Spring Security默认会在认证失败时重定向到登录页并携带error参数，只要会话正常，登录页的th:if="${param.error}"即可正常显示提示。也可显式配置失败跳转地址：

.formLogin()
    // 其他配置
    .failureUrl("/login?error=true")

额外检查点 #

• 确认数据库中用户密码是通过BCryptPasswordEncoder加密存储的，否则密码匹配会失败导致认证失败。
• 检查用户实体的enabled字段是否为true，若为false会直接拒绝认证且无提示。

内容的提问来源于stack exchange，提问作者Natasha