已登录时window.open可访问页面 手动输入URL跳转登录页问题

window.open同域打开新标签和手动输入地址访问，二者的浏览上下文、凭证携带逻辑存在本质差异，你遇到的鉴权重定向问题基本都是鉴权凭证的存储/携带规则没覆盖手动新开标签的场景导致的。

两种访问方式的关键差异 #

• 通过window.open(address, "_blank")触发的新标签页，和原打开页面属于同一浏览上下文组，会完整继承原页面的运行时状态：包括内存中存储的临时token、同域下的所有会话级Cookie、Service Worker注入的请求头、前端全局状态（Vuex/Pinia/Redux等）。如果你的鉴权逻辑依赖前端运行时内存里的凭证，这种打开方式相当于直接复用了已登录的环境，自然能正常通过校验。
• 手动新开标签页输入地址访问属于全新的顶级浏览上下文，和之前的已登录页面不存在上下文继承关系：内存里的所有临时状态会完全丢失，只会自动携带持久化存储的凭证——也就是设置了过期时间的持久化Cookie、localStorage/sessionStorage中存储的同域数据，读不到任何原页面内存里的临时信息。

最高发的几个故障原因 #

对照你的代码逐一排查即可：

1. Token未做持久化存储：这是80%以上同类问题的诱因。如果登录后拿到的token只存在前端全局状态、运行时内存里，没有同步写入localStorage/sessionStorage或者持久化Cookie，手动开新标签时内存状态清空，请求自然带不上有效token，直接被Authentication Handler拦截重定向到登录页。
2. Cookie的SameSite配置过严：如果你的鉴权凭证存在会话级Cookie（未设置Expires/Max-Age，浏览器退出就失效）里，且把SameSite属性设为了Strict，那么手动输入地址触发的顶级导航不会携带这个Cookie；而window.open属于同站触发的导航，不受SameSite=Strict的限制，可以正常携带Cookie通过校验。
3. 前端路由鉴权逻辑有漏洞：如果你的部分鉴权判断写在前端路由守卫里，依赖原页面注入的临时登录标记，window.open打开同域路由时可能直接命中前端缓存继承状态，而手动输入地址会从头加载前端资源，临时标记丢失就会触发前端的重定向逻辑，根本没走到后端Authentication Handler的校验。

修复方向 #

• 登录成功后将有效token持久化存储到localStorage，或写入配置了合理过期时间、SameSite属性为Lax的Cookie中，确保新开标签页初始化时能从持久化存储中读取到有效凭证，添加到后续请求里。
• 存鉴权凭证的Cookie不要设置SameSite=Strict，否则所有用户手动输入地址、从外部链接跳转到站内的场景都会被判定为未登录。
• 鉴权逻辑不要完全依赖前端内存里的临时状态，后端Authentication Handler只信任随请求正式携带的凭证，不要信任前端临时透传的标记。

内容的提问来源于stack exchange，提问作者CodesDDecodes