Spring Security登录重定向异常：已登录用户访问首页404问题排查

我来帮你排查这个问题——你遇到的核心问题是已登录用户访问根路径（mysite.com）时没有自动跳转到/dashboard，反而出现404，而且关闭页面后会话似乎没有正确保留，导致需要换浏览器或重启服务器才能重新登录。咱们从你的配置和几个常见坑入手分析修复：

1. 核心问题排查 #

根路径访问规则缺失 #

你的配置里anyRequest().authenticated()要求所有请求都需要认证，但没有明确指定根路径/的处理逻辑。当用户访问/时，Spring Security只知道这个请求需要认证，但如果你的应用没有映射/路径的Controller，就会直接返回404，而非自动重定向到/dashboard。

会话持久化问题 #

用户关闭页面后需要重新登录，说明会话可能没被正确持久化，或者浏览器没保存会话Cookie。Spring Security默认基于Cookie管理会话，但如果Cookie的HttpOnly/Secure属性配置不当、会话超时时间过短，都会导致关闭页面后会话直接失效。

针对你的配置的修复方案 #

方案一：强制登录后重定向+根路径处理 #

修改你的HttpSecurity配置，明确根路径的处理逻辑，并强制登录后跳转到dashboard：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
            .antMatchers("/settings", "/users", "/teams", "/docker-status", "/container-creation").hasAuthority("Administrator")
            .antMatchers("/").authenticated() // 明确根路径需要认证
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .loginPage("/login").permitAll()
            .defaultSuccessUrl("/dashboard", true) // 第二个参数设为true，强制登录后跳转到dashboard，忽略原请求路径
            .failureUrl("/login?error")
            .successHandler(authenticationSuccessHandler)
            .and()
            .logout()
            .logoutUrl("/logout")
            .logoutSuccessUrl("/login")
            .logoutSuccessHandler(logoutSuccessHandler)
            .and()
            .exceptionHandling().accessDeniedHandler(accessDeniedHandler)
            .and()
            .sessionManagement() // 可选：优化会话管理，避免意外失效
            .maximumSessions(1) // 限制单用户同时登录数，按需开启
            .expiredUrl("/login?expired");
}

另外，也可以在Controller里直接添加根路径的重定向映射：

@GetMapping("/")
public String redirectToDashboard() {
    return "redirect:/dashboard";
}

方案二：修复会话持久化问题 #

如果用户关闭页面后登录状态丢失，建议开启「记住我」功能，让会话Cookie持久化：

http.sessionManagement()
    .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)
    .and()
    .rememberMe()
    .key("your-unique-secret-key") // 自定义唯一密钥，避免跨应用冲突
    .tokenValiditySeconds(86400); // 设置Cookie有效期为1天，可按需调整

同时要确保浏览器允许保存Cookie，且应用没有禁用Cookie相关配置。

额外注意点 #

如果你自定义了authenticationSuccessHandler，要确保它没有覆盖defaultSuccessUrl的逻辑。如果successHandler已经处理了重定向，需要在里面添加根路径的判断：

@Override
public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
    String targetUrl = request.getRequestURI();
    if ("/".equals(targetUrl)) {
        response.sendRedirect("/dashboard");
    } else {
        // 你的其他重定向逻辑
    }
}

内容的提问来源于stack exchange，提问作者user9729328