Spring Security应用：实现已登录状态下新页签直接跳转首页

嘿，这个场景我太熟了！很多Spring Security开发者都会遇到这个需求——同一浏览器下已登录的用户新开页签访问登录页，不想再让他看到登录表单，直接跳首页对吧？其实核心就是让服务端能识别当前会话已经有认证过的用户，然后在登录页请求进来时做重定向。下面给你两个最常用的实现方案，你根据自己的项目情况选：

方案一：自定义登录页控制器，主动校验会话状态 #

这个方案逻辑最直观，适合传统服务端渲染的应用，直接在登录页的控制器里判断用户是否已登录，是的话就跳首页。

• 第一步，先确保你的登录页请求（比如/login）由自定义控制器处理，而不是Spring Security默认生成的页面。
• 第二步，在控制器方法里注入Authentication对象，判断当前会话是否已有认证用户：

@Controller
public class LoginController {

    @GetMapping("/login")
    public String loginPage(Authentication authentication) {
        // 检查是否是已认证的非匿名用户
        if (authentication != null && authentication.isAuthenticated() && !(authentication instanceof AnonymousAuthenticationToken)) {
            // 已登录，直接重定向到首页
            return "redirect:/home";
        }
        // 未登录，返回登录页面模板
        return "login";
    }
}

• 第三步，在Spring Security配置类里指定登录页路径为这个控制器的请求地址：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/login", "/css/**", "/js/**").permitAll() // 允许未登录访问登录页和静态资源
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginPage("/login") // 指向自定义控制器的登录页
                .defaultSuccessUrl("/home", true) // 登录成功后跳首页
                .permitAll()
            )
            .logout(logout -> logout.permitAll());
        return http.build();
    }
}

方案二：自定义Filter，提前拦截登录请求 #

如果你的项目已经有成熟的登录页控制器，不想改动它，那可以用自定义Filter在Spring Security认证流程之前拦截登录请求，做重定向判断。

• 第一步，创建自定义Filter，只拦截登录页的GET请求：

@Component
public class LoginRedirectFilter extends OncePerRequestFilter {

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        // 只处理登录页的GET请求
        if ("/login".equals(request.getServletPath()) && "GET".equalsIgnoreCase(request.getMethod())) {
            Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
            // 判断是否已登录
            if (authentication != null && authentication.isAuthenticated() && !(authentication instanceof AnonymousAuthenticationToken)) {
                // 重定向到首页
                response.sendRedirect("/home");
                return;
            }
        }
        // 未登录，继续执行后续Filter链
        filterChain.doFilter(request, response);
    }
}

• 第二步，在Security配置里把这个Filter加到UsernamePasswordAuthenticationFilter之前，确保它先于认证逻辑执行：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Autowired
    private LoginRedirectFilter loginRedirectFilter;

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .addFilterBefore(loginRedirectFilter, UsernamePasswordAuthenticationFilter.class) // 注入自定义Filter
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/login", "/css/**", "/js/**").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginPage("/login")
                .defaultSuccessUrl("/home", true)
                .permitAll()
            )
            .logout(logout -> logout.permitAll());
        return http.build();
    }
}

额外注意点 #

• 同一浏览器的多个页签共享同一个JSESSIONID，所以Spring Security的SecurityContext是绑定在Session中的，只要一个页签登录成功，其他页签的请求都会带上同一个Session ID，服务端就能识别到已登录状态。
• 如果是前后端分离架构，除了后端做校验，前端也可以在路由层面判断登录状态（比如本地存储的token是否存在），直接跳转首页，双重保障。

内容的提问来源于stack exchange，提问作者Anonymous