Symfony：已登录用户访问登录/注册页的安全配置重定向方案

完全不需要依赖RequestEvent监听器，通过Security的核心配置就能实现已登录用户访问登录/注册页自动重定向到首页的效果，核心思路是给登录/注册路径添加「仅未认证用户可访问」的规则，然后对已认证用户访问这些路径的情况做重定向处理。

下面分两种常用配置方式给你示例：

一、Java配置（Spring Security 6+ 版本） #

这是目前最常用的配置方式，直接在SecurityFilterChain里定义规则：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        // 配置路径访问规则
        .authorizeHttpRequests(auth -> auth
            // 允许静态资源自由访问（可选，根据你的项目需求调整）
            .requestMatchers("/css/**", "/js/**", "/images/**").permitAll()
            // 关键：只有未登录（匿名）用户才能访问登录、注册页
            .requestMatchers("/login", "/register").anonymous()
            // 其他所有路径必须登录后才能访问
            .anyRequest().authenticated()
        )
        // 配置表单登录
        .formLogin(form -> form
            .loginPage("/login") // 指定自定义登录页路径
            .defaultSuccessUrl("/", true) // 登录成功后直接跳首页
            .permitAll()
        )
        // 配置登出
        .logout(logout -> logout
            .logoutSuccessUrl("/login") // 登出后跳登录页
            .permitAll()
        )
        // 处理已登录用户访问登录/注册页的情况：重定向到首页
        .exceptionHandling(ex -> ex
            .accessDeniedHandler((request, response, ex) -> {
                response.sendRedirect("/");
            })
        );

    return http.build();
}

配置说明： #

• requestMatchers("/login", "/register").anonymous()：这个规则会拦截已认证用户访问这两个路径的请求，触发AccessDeniedException
• 自定义的accessDeniedHandler会捕获这个异常，直接把请求重定向到首页，完美实现你的需求

二、XML配置（适用于传统Spring项目） #

如果你的项目还在使用XML配置Spring Security，可以这么写：

首先是核心安全配置文件：

<security:http auto-config="true">
    <!-- 静态资源允许所有人访问 -->
    <security:intercept-url pattern="/css/**" access="permitAll"/>
    <security:intercept-url pattern="/js/**" access="permitAll"/>
    <!-- 登录/注册页仅允许匿名用户访问 -->
    <security:intercept-url pattern="/login" access="isAnonymous()"/>
    <security:intercept-url pattern="/register" access="isAnonymous()"/>
    <!-- 其他路径需认证 -->
    <security:intercept-url pattern="/**" access="isAuthenticated()"/>

    <!-- 配置表单登录 -->
    <security:form-login 
        login-page="/login" 
        default-target-url="/" 
        always-use-default-target="true"/>
    <!-- 配置登出 -->
    <security:logout logout-success-url="/login"/>

    <!-- 指定自定义的权限拒绝处理器，用于重定向 -->
    <security:access-denied-handler ref="loginRedirectHandler"/>
</security:http>

<!-- 自定义权限拒绝处理器 -->
<bean id="loginRedirectHandler" class="com.yourpackage.LoginRedirectHandler">
    <property name="redirectUrl" value="/"/>
</bean>

然后实现自定义的LoginRedirectHandler：

public class LoginRedirectHandler implements AccessDeniedHandler {
    private String redirectUrl;

    @Override
    public void handle(HttpServletRequest request, HttpServletResponse response, AccessDeniedException accessDeniedException) throws IOException {
        // 重定向到指定页面
        response.sendRedirect(redirectUrl);
    }

    // 提供setter方法注入redirectUrl
    public void setRedirectUrl(String redirectUrl) {
        this.redirectUrl = redirectUrl;
    }
}

额外小提示 #

如果你想让这个逻辑更灵活，比如不同角色的已登录用户重定向到不同页面，可以在accessDeniedHandler里根据用户角色做判断，比如：

.accessDeniedHandler((request, response, ex) -> {
    Authentication auth = SecurityContextHolder.getContext().getAuthentication();
    if (auth != null && auth.getAuthorities().stream().anyMatch(a -> a.getAuthority().equals("ROLE_ADMIN"))) {
        response.sendRedirect("/admin/dashboard");
    } else {
        response.sendRedirect("/");
    }
})

这种方式完全基于Security配置实现，不需要额外的监听器，符合你的需求~

内容的提问来源于stack exchange，提问作者Mintendo