Spring Boot集成Spring Security后无法识别已登录用户求助

我来帮你一步步梳理这个问题——结合你用Angular 5做前端的场景，大概率是跨域请求未正确携带会话Cookie导致的，咱们从后端到前端逐一排查：

一、先确认后端Spring Security的Cookie & CORS配置是否到位 #

你贴的配置没写完，先补全最关键的几个点：首先要确保Spring Security允许跨域携带Cookie，同时会话管理配置正确：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        // 登录接口放开权限
        .authorizeRequests()
            .antMatchers("/rest/user/login").permitAll()
            .anyRequest().authenticated()
        .and()
        // 这里根据你的认证方式调整，比如formLogin或自定义认证
        .formLogin()
        .and()
        // 确保会话正常创建（默认是IF_REQUIRED，不用改但要确认）
        .sessionManagement()
            .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)
        .and()
        // 跨域场景下先临时关闭CSRF方便排查（后续再按需配置）
        .csrf().disable()
        // 开启CORS支持，这是跨域传Cookie的前提
        .cors();
}

// 必须单独配置CORS规则，允许前端域名+携带Cookie
@Bean
public CorsConfigurationSource corsConfigurationSource() {
    CorsConfiguration config = new CorsConfiguration();
    // 注意：这里不能用*，必须写你Angular前端的具体域名（比如http://localhost:4200）
    config.setAllowedOrigins(Arrays.asList("http://你的Angular地址:端口"));
    config.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE", "OPTIONS"));
    config.setAllowedHeaders(Arrays.asList("*"));
    // 核心：允许跨域携带Cookie，必须设为true
    config.setAllowCredentials(true);
    
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/**", config);
    return source;
}

这里的核心是setAllowCredentials(true)和AllowedOrigins不能用通配符——浏览器有安全限制，用*的话会直接阻止Cookie跨域发送。

二、检查Angular前端是否正确配置请求携带Cookie #

Angular的HttpClient默认不会自动携带Cookie，必须手动开启withCredentials：

方式1：单个请求配置 #

在每次发送请求时加上配置：

// 比如请求用户信息接口
this.http.get('/rest/user/info', { withCredentials: true }).subscribe(
    res => console.log(res),
    err => console.error(err)
);

方式2：全局配置（推荐） #

写一个HTTP拦截器，让所有请求自动携带Cookie，不用每次都写：

import { Injectable } from '@angular/core';
import { HttpInterceptor, HttpRequest, HttpHandler } from '@angular/common/http';

@Injectable()
export class CredentialsInterceptor implements HttpInterceptor {
  intercept(req: HttpRequest<any>, next: HttpHandler) {
    // 克隆请求并开启withCredentials
    const clonedRequest = req.clone({ withCredentials: true });
    return next.handle(clonedRequest);
  }
}

然后在AppModule的providers里注册这个拦截器：

import { HttpClientModule, HTTP_INTERCEPTORS } from '@angular/common/http';

@NgModule({
  imports: [HttpClientModule],
  providers: [
    { 
      provide: HTTP_INTERCEPTORS, 
      useClass: CredentialsInterceptor, 
      multi: true 
    }
  ]
})
export class AppModule { }

开发环境额外注意：代理配置 #

如果用ng serve做开发，还要在proxy.conf.json里加上withCredentials: true：

{
  "/rest/*": {
    "target": "http://localhost:8080",
    "secure": false,
    "withCredentials": true
  }
}

启动时记得指定代理：ng serve --proxy-config proxy.conf.json

三、用浏览器工具验证Cookie是否真的发送了 #

打开浏览器开发者工具（F12），做两步验证：

1. 登录后检查Cookie：切换到「Application」（Chrome）或「Storage」（Firefox）标签，查看Cookie列表里是否有JSESSIONID（或你自定义的会话Cookie），确认Domain和Path和后端接口匹配。
2. 后续请求检查请求头：发送一个需要认证的请求，看「Network」标签里的Request Headers，是否有Cookie: JSESSIONID=xxx这一行。
   • 如果没有：说明前端配置没生效，回到第二步检查。
   • 如果有但后端还是识别不了：那就要检查后端的会话是否正常创建，比如在认证成功的处理器里打印SecurityContextHolder.getContext().getAuthentication()，确认用户信息已经存入上下文。

四、其他可能的小概率原因 #

• 如果后端用的是JWT而非会话Cookie：那你需要在前端每次请求时携带Authorization: Bearer xxx头，而不是依赖Cookie（但你说认证流程完成，暂时先排除这种情况）。
• 如果是多服务器集群：没有配置会话共享（比如Redis）的话，用户请求打到不同实例会导致识别不了，但开发环境一般是单实例，暂时忽略。

先按这个流程排查，90%以上的概率是跨域Cookie的配置问题，调整后应该就能解决啦。

内容的提问来源于stack exchange，提问作者Pavel