Spring Boot-Spring Security双登录场景下CSRF令牌未注入问题

我之前在做用户+管理员双登录模块时也碰到过一模一样的CSRF令牌验证失败问题，结合你的情况，咱们一步步来排查解决：

1. 先确认Spring Security的CSRF基础配置 #

首先要确保你没有在任何地方（包括管理员或用户的Security配置）禁用CSRF，并且配置了正确的令牌仓库，推荐用Cookie存储的方式（方便前端获取，也兼容表单提交）：

@Configuration
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            // 开启CSRF，不要加csrf().disabled()
            .csrf(csrf -> csrf
                .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
            )
            // 其他配置...
        return http.build();
    }
}

如果是分模块配置管理员和用户的Security（比如用@Order区分优先级），要确保管理员登录路径/admin_login没有被排除在CSRF保护之外，默认情况下CSRF是对所有POST请求生效的，不要手动把/admin_login加入ignoringAntMatchers。

2. 确保登录表单正确注入CSRF令牌 #

你尝试添加隐藏字段的思路是对的，但要写完整：

<!-- 手动添加CSRF隐藏字段的正确写法 -->
<form action="/admin_login" method="post">
    <!-- 其他表单字段：用户名、密码 -->
    <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />
    <button type="submit">登录</button>
</form>

如果用的是Thymeleaf模板，其实不用手动加——只要表单用th:action指定提交路径，Thymeleaf会自动帮你注入CSRF隐藏字段，比如：

<form th:action="@{/admin_login}" method="post">
    <!-- 用户名、密码字段 -->
    <button type="submit">登录</button>
</form>

要是用JSP的话，可以用Spring Security的标签库来生成：

<%@ taglib prefix="sec" uri="http://www.springframework.org/security/tags" %>
<form action="/admin_login" method="post">
    <sec:csrfInput/>
    <!-- 其他字段 -->
</form>

3. 检查双登录配置的路径匹配一致性 #

双登录最容易踩的坑就是表单提交路径和Security配置里的loginProcessingUrl不一致，比如你表单action是/admin_login，但配置里写的是/admin/login，这会导致Spring Security无法正确关联请求和CSRF令牌。

举个正确的管理员Security配置示例（用Spring Security 5.7+的链式配置）：

@Configuration
@Order(1) // 管理员配置优先级高于普通用户
public class AdminSecurityConfig {
    @Bean
    public SecurityFilterChain adminFilterChain(HttpSecurity http) throws Exception {
        http
            .antMatcher("/admin/**") // 匹配所有管理员路径
            .authorizeRequests(auth -> auth
                .anyRequest().hasRole("ADMIN")
            )
            .formLogin(form -> form
                .loginPage("/admin_login") // 管理员登录页面路径
                .loginProcessingUrl("/admin_login") // 必须和表单action完全一致
                .defaultSuccessUrl("/admin/dashboard")
                .permitAll()
            );
        // 这里不要加csrf().disabled()！
        return http.build();
    }
}

@Configuration
public class UserSecurityConfig {
    @Bean
    public SecurityFilterChain userFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeRequests(auth -> auth
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginPage("/login")
                .permitAll()
            );
        return http.build();
    }
}

4. 调试验证令牌是否正确传递 #

如果还是不行，用浏览器开发者工具排查：

• 打开登录页面，查看HTML源码，确认CSRF隐藏字段存在，name和value有值（name默认是_csrf，value是一串随机字符串）
• 提交表单时，查看Network标签里的请求，检查Form Data里是否包含_csrf参数，且值和页面上的一致
• 查看服务器日志，对比CsrfFilter打印的无效令牌和请求里带的令牌是否一致

内容的提问来源于stack exchange，提问作者Fernando Fradegrada