如何在Spring Boot中保护重定向到Angular站点的链接安全？

你提出的方案不可行，核心原因有两点： #

• 服务端无法直接操作浏览器的localStorage：localStorage是仅能通过前端页面JavaScript读写的客户端存储，你返回302重定向是HTTP协议层面的跳转，整个过程没有前端页面执行JS的环节，Java侧根本没有能力往用户浏览器的localStorage里写数据。
• 纯前端校验没有安全价值：就算你能把sessionId存在localStorage里，前端自行比对的逻辑完全可以被用户绕过——直接访问4200的用户可以手动在本地伪造localStorage里的sessionId值，没有后端参与的校验形同虚设。

推荐的可行实现方案 #

前置调整：Cookie跨域配置 #

你当前用的是端口不同的两个localhost站点，属于跨域场景，默认session cookie无法自动携带，需要先调整Spring Boot Security的session cookie配置：

@Configuration
public class CookieConfig implements WebServerFactoryCustomizer<ConfigurableServletWebServerFactory> {
    @Override
    public void customize(ConfigurableServletWebServerFactory factory) {
        factory.addInitializers(servletContext -> {
            SessionCookieConfig cookieConfig = servletContext.getSessionCookieConfig();
            cookieConfig.setSameSite("Lax");
            // 本地开发可以注释Secure，生产环境建议开启https后设为true
            // cookieConfig.setSecure(true);
            cookieConfig.setHttpOnly(true);
        });
    }
}

如果是生产环境，建议前后端使用同根域名（比如后端api.xxx.com、前端www.xxx.com），将session cookie的domain设置为根域名.xxx.com，两个子域名都可以正常读取cookie。

流程调整 #

1. 修改跳转逻辑：不要直接返回纯302跳转，改为跳转时在URL上拼接一次性临时校验令牌，令牌和当前用户的session绑定，有效期设为1分钟且仅能使用一次：

@GetMapping("/admin")
public void admin(HttpServletResponse httpServletResponse, HttpSession session) throws IOException {
    // 生成临时令牌，存入session
    String tempToken = UUID.randomUUID().toString().replace("-", "");
    session.setAttribute("validTempToken", tempToken);
    // 拼接令牌后跳转
    httpServletResponse.sendRedirect("http://localhost:4200/?tempToken=" + tempToken);
}

2. Angular侧增加路由守卫校验

   • 用户进入Angular站点时，优先读取URL的tempToken参数，如果存在就向后端/verifyTempToken接口发起请求校验，校验通过后清除URL上的令牌参数，标记用户为已登录状态。
   • 如果不存在tempToken，直接向后端/checkAuth接口发起请求，校验当前请求携带的session cookie是否有效，有效则正常进入页面，无效直接跳转到后端的登录页http://localhost:8080/login。
   • 后端对应新增两个校验接口，逻辑分别是校验tempToken是否和当前session匹配、校验当前session是否处于已登录状态即可。

3. 生产环境优化（彻底禁止直接访问前端）
   把Angular打包后的静态资源交给Spring Boot托管（放在resources/static目录下），或者用Nginx做统一入口，所有访问前端资源的请求都先校验session有效性，无效直接跳转登录页，从源头上避免用户直接访问前端站点的可能。

内容的提问来源于stack exchange，提问作者Hrvoje T