Spring Boot/Security+Google OAuth2如何判断用户是否已认证？

你的核心问题是Spring Security OAuth2默认会利用用户已有的Google会话自动静默完成认证，导致新会话创建时应用直接判定用户已登录。以下是两种直接解决思路：

1. 关闭自动静默登录，强制用户主动触发认证 #

修改SecurityConfig中的oauth2Login配置，指定登录入口并关闭自动跳转逻辑，确保用户必须点击登录按钮才会触发Google认证流程：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .antMatchers("/secure/**").authenticated()
                .anyRequest().permitAll()
            )
            .oauth2Login(oauth2 -> oauth2
                // 指定OAuth2认证入口，用户需主动访问此链接触发登录
                .loginPage("/oauth2/authorization/google")
                .permitAll()
            )
            .logout(logout -> logout
                .logoutSuccessUrl("/")
                .permitAll()
            );
        return http.build();
    }
}

配置后，即使用户在Google端保持登录状态，回到你的网站时也不会自动创建认证会话，必须主动点击登录按钮才会完成认证，UI的登录/登出按钮就能正确展示。

2. 正确获取当前会话的认证状态（用于UI展示） #

不需要自行维护会话中的用户信息，直接使用Spring Security提供的工具类或模板标签判断认证状态：

后端代码中获取认证状态 #

在Controller或任意Bean中，通过SecurityContextHolder获取当前用户的认证信息：

import org.springframework.security.core.Authentication;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.security.authentication.AnonymousAuthenticationToken;

public boolean isUserAuthenticated() {
    Authentication auth = SecurityContextHolder.getContext().getAuthentication();
    // 排除匿名认证令牌，判断是否为有效登录状态
    return auth != null && auth.isAuthenticated() && !(auth instanceof AnonymousAuthenticationToken);
}

前端模板中动态控制UI（以Thymeleaf为例） #

使用Spring Security的Thymeleaf扩展标签，无需后端传参即可动态切换按钮：

<!-- 未认证时显示登录按钮 -->
<div sec:authorize="isAnonymous()">
    <a href="/oauth2/authorization/google">登录</a>
</div>

<!-- 已认证时显示登出和个人资料按钮 -->
<div sec:authorize="isAuthenticated()">
    <a href="/logout">登出</a>
    <a href="/profile">个人资料</a>
</div>

关于SessionListener的说明 #

实际上不需要使用SessionListener或HttpSessionIdListener处理该场景——Spring Security的认证流程绑定到请求生命周期，会话创建事件触发时，认证流程可能尚未执行，此时无法获取有效认证信息。如果一定要监听认证相关事件，可以监听Spring Security的内置认证事件：

import org.springframework.context.ApplicationListener;
import org.springframework.security.authentication.event.AuthenticationSuccessEvent;
import org.springframework.security.authentication.event.LogoutSuccessEvent;
import org.springframework.stereotype.Component;

@Component
public class AuthEventListener implements ApplicationListener<Object> {

    @Override
    public void onApplicationEvent(Object event) {
        if (event instanceof AuthenticationSuccessEvent successEvent) {
            // 用户认证成功时，可在此更新会话或记录状态
            String username = successEvent.getAuthentication().getName();
            // 后续自定义逻辑...
        } else if (event instanceof LogoutSuccessEvent logoutEvent) {
            // 用户登出成功时，清理相关会话数据
            // 后续自定义逻辑...
        }
    }
}

内容的提问来源于stack exchange，提问作者Gary Kephart