Flutter如何解决未登录用户可通过修改URL直接进入主页的问题？

你遇到的问题是Flutter Web端未做全局路由管控，匿名路由的路径可被直接篡改访问，可通过以下四层逻辑彻底解决：

• 第一层：替换现有零散路由跳转逻辑，改用全局命名路由/路由框架做统一守卫
  放弃零散通过MaterialPageRoute直接跳转的方式，将所有页面路径在MaterialApp中注册为命名路由，或引入go_router等路由框架配置路由表，在全局路由跳转钩子（如onGenerateRoute、go_router的redirect回调）中统一校验登录态：未登录状态下所有非登录页的路由请求，全部重定向到登录页。
• 第二层：主页面内置强制校验逻辑
  在HomePage的初始化生命周期中直接增加准入校验，就算用户绕过全局路由拦截进入页面，也会被立即踢回登录页，参考代码：

  @override
  void initState() {
    super.initState();
    // 优先取本地存储的jwt，而非构造参数传入的jwt，避免用户构造假参数进入页面
    final jwt = window.localStorage["csrf"];
    // 校验规则可自定义：非空校验、本地解析JWT看exp是否过期、可选调用后端轻量校验接口确认有效性
    if (jwt == null || jwt.isEmpty || _isJwtExpired(jwt)) {
      WidgetsBinding.instance.addPostFrameCallback((_) {
        // 用pushReplacement避免用户按返回键再回到主页
        Navigator.pushReplacementNamed(context, '/login');
      });
    }
  }
  
  bool _isJwtExpired(String jwt) {
    try {
      final payload = jsonDecode(utf8.decode(base64Url.decode(base64Url.normalize(jwt.split('.')[1]))));
      return DateTime.fromMillisecondsSinceEpoch(payload["exp"] * 1000).isBefore(DateTime.now());
    } catch(e) {
      return true;
    }
  }
  

• 第三层：后端接口统一鉴权兜底
  前端所有校验都是客户端层面的防护，必须在后端给所有业务接口增加JWT校验逻辑，收到请求时先验证JWT的合法性和有效性，无效直接返回401状态码。前端全局拦截接口响应，只要收到401就立即清空本地存储的JWT，强制跳转到登录页。
• 第四层：优化本地存储逻辑
  敏感的JWT可优先存到内存中，页面刷新时再从localStorage读取并校验有效性，避免用户直接修改本地存储伪造登录态。

内容的提问来源于stack exchange，提问作者user16462988