Spring Security登录后重定向未实际登录及CSRF配置问题

咱们一步步拆解你遇到的两个核心问题，先解决初始的登录状态异常，再梳理CSRF配置后的循环问题：

一、初始问题：登录后未真正登录，/api/me返回空、ADMIN接口无法访问 #

1. 跨域会话Cookie未配置，前端无法携带登录状态 #

你的前端运行在192.168.1.105:3000，后端在localhost:8080，属于跨域场景。虽然你给/api/me加了@CrossOrigin，但登录生成的JSESSIONID Cookie没有跨域属性，前端请求后端时不会自动携带这个Cookie，导致后端始终判定你处于未登录状态，Principal自然为空，ADMIN权限的接口也会被拒绝。

修复方法：
在WebSecurityConfig的configure(HttpSecurity http)中添加全局跨域配置，明确允许携带Cookie：

http.cors(cors -> cors.configurationSource(request -> {
    CorsConfiguration config = new CorsConfiguration();
    config.setAllowedOrigins(Collections.singletonList("http://192.168.1.105:3000"));
    config.setAllowedMethods(Collections.singletonList("*"));
    config.setAllowedHeaders(Collections.singletonList("*"));
    config.setAllowCredentials(true); // 关键：允许跨域携带Cookie
    return config;
}));

同时建议去掉/api/me上的@CrossOrigin注解，避免局部配置和全局配置冲突。

2. Spring Security角色前缀不匹配 #

你使用了hasRole("ADMIN")，但Spring Security的hasRole方法会自动给角色名添加ROLE_前缀进行匹配。而你的AccountService里直接返回account.getRole()（比如数据库存的是ADMIN），实际权限是ADMIN，但hasRole("ADMIN")会查找ROLE_ADMIN，自然匹配失败，导致ADMIN接口无法访问。

修复方法二选一：

• 方法1：数据库存储角色时加上ROLE_前缀（比如ROLE_ADMIN），保持hasRole("ADMIN")不变；
• 方法2：修改AccountService，给角色手动添加前缀：

roles.add(new SimpleGrantedAuthority("ROLE_" + role));

或者改用hasAuthority("ADMIN")替代hasRole("ADMIN")，因为hasAuthority不会自动添加前缀。

3. /api/me接口的Principal获取逻辑 #

只要解决了跨域Cookie的问题，Principal参数会在用户认证成功后自动填充，之前返回空的问题会随之消失。

二、配置CSRF后陷入登录循环的问题 #

你之前的代码里是http.csrf().disable();，开启CSRF后出现循环，核心原因有两个：

1. 跨域场景下CSRF Token无法正确传递 #

Spring Security默认把CSRF Token存在XSRF-TOKEN Cookie中，但跨域情况下如果没配置AllowCredentials: true，前端无法读取这个Cookie，也就没法在请求头里带上X-XSRF-TOKEN，后端验证CSRF Token失败，会重定向到登录页。

2. 跨域重定向后的登录状态无法保持 #

你设置的defaultSuccessUrl是跨域的http://192.168.1.105:3000/api/adminpage，登录成功后重定向到前端，但此时后端的会话Cookie因为跨域属性缺失，前端无法携带，当下次请求后端时，后端又判定未登录，重定向到localhost:8080/login，形成循环。

修复方法：

1. 保持CSRF开启，同时配置好上述的跨域允许携带Cookie的规则；
2. 前端配合处理CSRF Token：读取XSRF-TOKEN Cookie，在POST/PUT/DELETE请求的头里添加X-XSRF-TOKEN。如果是React项目，用axios拦截器可以自动处理：

axios.interceptors.request.use(config => {
  const xsrfToken = document.cookie.match(/XSRF-TOKEN=([^;]+)/)?.[1];
  if (xsrfToken) {
    config.headers['X-XSRF-TOKEN'] = xsrfToken;
  }
  return config;
});

额外优化建议 #

• 把defaultSuccessUrl改成相对路径（比如/api/adminpage），让前端自己处理路由跳转，避免跨域重定向的潜在问题；
• 检查Account实体的role字段存储值，确保和Security配置的权限规则匹配；
• 开启Spring Security调试日志，方便排查认证授权问题：

logging.level.org.springframework.security=DEBUG

内容的提问来源于stack exchange，提问作者randomboiguyhere