Spring Security调用@Async方法时session失效跳转登录页问题求助

问题排查与解决方案 #

核心原因定位 #

你遇到的请求未到控制器就重定向到/auth/login?logout=true的问题，本质是Spring Security过滤器链在请求到达Controller前就判定用户身份无效/权限不足，触发了登录重定向逻辑，和你写的异步方法本身没有直接关联。

具体修复步骤 #

1. 修正角色匹配规则
   Spring Security的hasAnyRole校验会自动给角色名拼接ROLE_前缀，如果你自定义PortalAuthProvider中返回的用户权限不带此前缀，会直接导致权限匹配失败。
   两种修复方案二选一：

• 修改认证逻辑，给用户角色添加ROLE_前缀，例如返回ROLE_ADMIN、ROLE_USER
• 将权限校验规则替换为不需要前缀的hasAnyAuthority：

.antMatchers(HttpMethod.POST, "/visor/publishenv").hasAnyAuthority("ADMIN", "USER")

2. 限制注销请求方法
   Spring Security默认支持GET请求触发注销逻辑，若页面存在误调用/logout路径的资源请求、跳转逻辑，会导致用户会话被意外销毁。可以限制注销仅支持POST请求，避免误触发：

.logout()
.logoutUrl("/logout")
.logoutSuccessUrl("/auth/login?logout=true")
// 新增以下配置，限制注销仅支持POST请求
.logoutRequestMatcher(new AntPathRequestMatcher("/logout", HttpMethod.POST.name()))

3. 验证请求凭证携带
   确认前端提交/visor/publishenv的POST请求时，请求头中正确携带了Cookie里的JSESSIONID；如果是跨域请求，需要前端配置withCredentials: true，后端同步配置CORS规则允许凭证传递。
4. 可选：强化异步上下文传递
   你已经配置了DelegatingSecurityContextAsyncTaskExecutor用来传递安全上下文到异步线程，可添加以下配置明确上下文传播模式，避免极端场景下上下文丢失：

// 在PublishAsyncConfig配置类中添加该Bean
@Bean
public MethodInvokingFactoryBean methodInvokingFactoryBean() {
    MethodInvokingFactoryBean bean = new MethodInvokingFactoryBean();
    bean.setTargetClass(SecurityContextHolder.class);
    bean.setTargetMethod("setStrategyName");
    bean.setArguments(SecurityContextHolder.MODE_INHERITABLETHREADLOCAL);
    return bean;
}

排查手段 #

如果以上方案未解决问题，可在配置文件中添加日志配置，查看Spring Security过滤器链的详细执行过程，定位具体拦截节点：

logging.level.org.springframework.security=DEBUG

内容的提问来源于stack exchange，提问作者Nicolás Navarro