Spring Boot+Angular项目如何同时实现前后端路由安全配置？

后端拦截未登录用户访问应用的可行性 #

完全具备可行性。
Angular 打包后生成的所有前端静态资源（HTML、JS、CSS、路由入口文件等）通常是由Spring Boot 托管分发的，你可以直接通过Spring Security 扩展拦截规则，对静态资源的访问请求也增加JWT有效性校验：

• 未携带有效JWT的用户请求应用静态资源时，可直接重定向到登录页，或返回401状态码
• 注意需要提前放行登录页面本身、登录页依赖的静态资源、登录API接口的访问权限，否则会出现登录页无法正常加载的问题

Spring Security 配置示例参考：

http.authorizeHttpRequests(auth -> auth
    // 放行登录相关资源和接口
    .requestMatchers("/login", "/api/auth/login", "/assets/**", "/*.js", "/*.css").permitAll()
    // 其余所有请求（包括Angular路由入口、业务API）都需要登录校验
    .anyRequest().authenticated()
);

如果你使用Angular的HTML5路由模式（无#哈希的路由），还要注意配置404 fallback到index.html的逻辑需要放在权限校验之后，避免未登录用户绕过校验直接拿到入口文件。

控制层选择建议 #

后端API接口的权限校验是必须做的安全底线，哪怕你做了静态资源访问拦截，API层的权限校验也不能省：

• 就算用户绕过前端路由拦截、甚至绕过静态资源访问拦截拿到了前端页面壳，只要所有业务API都做了严格的JWT校验、权限校验，未授权用户也拿不到任何敏感业务数据，不会出现核心安全问题
• 是否需要额外增加静态资源访问拦截，可根据你的业务场景判断：
  • 如果你的前端页面包含敏感静态信息（比如内部业务流程提示、系统架构相关的菜单/字段命名、不想对外暴露的业务逻辑源码），推荐增加这层控制，避免未登录用户可以下载到前端打包源码反编译获取信息
  • 如果你的前端只是纯渲染壳，所有业务信息都从API动态获取，静态资源没有敏感内容，可以不做这层控制，把精力放在API权限校验上即可，投入产出比更高

内容的提问来源于stack exchange，提问作者M364M4N cro