Spring Security问题：无效SessionID致公开页面重定向至登录页

嘿，这个问题我之前排查过，核心原因其实是Spring Security过滤器链的执行顺序在搞事情，咱们一步步来理清楚：

为什么会出现这个行为？ #

Spring Security的过滤器链里，SessionManagementFilter是在FilterSecurityInterceptor（负责授权检查，比如permitAll判断）之前执行的。也就是说，不管你的URL是不是配置了permitAll，只要请求里带了无效的SessionID，SessionManagementFilter会先检测到这个无效Session，直接触发invalidSessionUrl的重定向，根本轮不到后面的授权环节去判断“这个URL是不是允许匿名访问”。

你的全局sessionManagement配置会对所有请求生效，所以哪怕是/register这种公开路由，也逃不过Session有效性检查。

更安全的解决方式 #

方法1：自定义InvalidSessionStrategy，针对URL做差异化处理 #

这是最灵活的方式，我们可以自己实现InvalidSessionStrategy接口，在里面判断请求路径，如果是公开URL就跳过重定向，直接放行；如果是受保护URL，再执行重定向逻辑。

代码示例：

import org.springframework.security.web.session.InvalidSessionStrategy;
import org.springframework.util.AntPathMatcher;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

public class CustomInvalidSessionStrategy implements InvalidSessionStrategy {
    private final String invalidSessionRedirectUrl;
    private final AntPathMatcher pathMatcher = new AntPathMatcher();
    // 定义需要跳过检查的公开URL列表，包含静态资源
    private final String[] permittedPaths = {"/register**", "/static/**", "/css/**", "/js/**"};

    public CustomInvalidSessionStrategy(String invalidSessionRedirectUrl) {
        this.invalidSessionRedirectUrl = invalidSessionRedirectUrl;
    }

    @Override
    public void onInvalidSessionDetected(HttpServletRequest request, HttpServletResponse response) throws IOException {
        String requestUri = request.getRequestURI();
        // 检查当前请求是否属于公开路径
        boolean isPermittedPath = false;
        for (String path : permittedPaths) {
            if (pathMatcher.match(path, requestUri)) {
                isPermittedPath = true;
                break;
            }
        }

        if (isPermittedPath) {
            // 放行，让请求继续走后续过滤器（包括授权检查）
            request.getRequestDispatcher(requestUri).forward(request, response);
        } else {
            // 非公开路径，重定向到登录页
            response.sendRedirect(request.getContextPath() + invalidSessionRedirectUrl);
        }
    }
}

然后在Security配置里替换默认的invalidSessionUrl：

http.sessionManagement()
    .invalidSessionStrategy(new CustomInvalidSessionStrategy("/login?logoutcause=sessiontimeout"))
    .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)
    .sessionAuthenticationErrorUrl("/login")
    .maximumSessions(1).maxSessionsPreventsLogin(true)
    .sessionFixation().newSession();

方法2：限定SessionManagement的生效范围 #

如果不想写自定义类，也可以通过requestMatcher来指定哪些URL需要应用Session管理配置，这样公开URL就不会触发无效Session检查。

示例配置：

import org.springframework.security.web.util.matcher.AntPathRequestMatcher;
import org.springframework.security.web.util.matcher.NegatedRequestMatcher;
import org.springframework.security.web.util.matcher.OrRequestMatcher;
import org.springframework.security.web.util.matcher.RequestMatcher;

// 组合所有不需要应用Session管理的URL匹配器
RequestMatcher excludedPaths = new OrRequestMatcher(
    new AntPathRequestMatcher("/register**"),
    new AntPathRequestMatcher("/static/**"),
    new AntPathRequestMatcher("/css/**"),
    new AntPathRequestMatcher("/js/**")
);
RequestMatcher sessionManagedPaths = new NegatedRequestMatcher(excludedPaths);

http.sessionManagement()
    .requestMatcher(sessionManagedPaths) // 只对非公开URL应用Session管理
    .invalidSessionUrl("/login?logoutcause=sessiontimeout")
    // 其他Session配置...

这种方式更简洁，适合公开URL较少的场景。

补充：关于静态资源的问题 #

你提到即使web.ignoring()禁用了路由的安全检查，依赖的JS/CSS还是有问题——那是因为你可能没把静态资源路径加入web.ignoring()里。可以加上：

web.ignoring().antMatchers("/static/**", "/css/**", "/js/**");

或者在上面的自定义策略里把静态资源路径加入permittedPaths，两种方式选其一即可。

总结 #

你的配置本身没有语法错误，只是没考虑到过滤器链的执行顺序。全局Session管理配置会覆盖所有请求，导致permitAll的URL也被提前检查Session有效性。通过自定义策略或限定生效范围，既能保留对受保护URL的Session失效重定向，又能让公开URL正常访问。

内容的提问来源于stack exchange，提问作者Sunchezz