部署在Heroku的Spring应用首次登录路由异常问题排查

看起来你遇到的是Heroku部署环境下Spring Security重定向和会话管理的典型问题，我来帮你梳理下可能的原因和解决办法：

一、首次登录重定向到Heroku基础URL的问题 #

这个问题大概率是Heroku反向代理导致的重定向URL计算错误，加上Spring Security默认的重定向逻辑没有强制指定目标路径。

解决步骤：

1. 强制登录成功后跳转到指定路径
   在你的SecurityConfig的formLogin配置里，把defaultSuccessUrl的第二个参数设为true，这样不管用户之前访问的是什么路径，登录成功后都会强制跳转到你指定的/cheese/account：

   .formLogin(form -> form
           .loginPage("/cheese/login")
           .loginProcessingUrl("/cheese/login")
           .defaultSuccessUrl("/cheese/account", true) // 关键是第二个参数true
           .permitAll())
   

   第二个参数true表示"总是重定向到该URL"，而不是默认的"重定向到用户之前尝试访问的页面"——Heroku的反向代理环境下，之前的请求URL可能被改写，导致重定向到基础URL。

2. 配置Spring Security信任Heroku的反向代理头
   Heroku会通过X-Forwarded-Proto、X-Forwarded-For等头传递真实的请求协议和地址，Spring Security默认不会信任这些头，导致计算重定向URL时用了内部的HTTP地址而不是外部的HTTPS地址，进而跳转到错误的基础URL。

   你可以通过两种方式配置：

   • 方式一：通过application.properties配置
     在你的application.properties或application.yml里添加：

     server.forward-headers-strategy=NATIVE
     server.servlet.context-path=/cheese # 如果你的应用上下文路径是/cheese，一定要加上这个
     

   • 方式二：注册ForwardedHeaderFilter
     在配置类里添加Bean：

     @Bean
     public FilterRegistrationBean<ForwardedHeaderFilter> forwardedHeaderFilter() {
         FilterRegistrationBean<ForwardedHeaderFilter> filterRegBean = new FilterRegistrationBean<>();
         filterRegBean.setFilter(new ForwardedHeaderFilter());
         filterRegBean.setOrder(Ordered.HIGHEST_PRECEDENCE);
         return filterRegBean;
     }
     

二、无痕窗口访问基础URL不自动跳转到/login的问题 #

这个问题和会话Cookie的安全配置有关，无痕窗口对Cookie的安全策略更严格，而Heroku是HTTPS环境，你的Cookie可能没有设置secure属性，导致无痕窗口拒绝保存Cookie，进而Spring Security无法识别未认证状态。

解决步骤：

1. 配置会话Cookie的安全属性
   在application.properties里添加：

   server.servlet.session.cookie.secure=true # 仅在HTTPS下发送Cookie，Heroku必须开启
   server.servlet.session.cookie.http-only=true # 防止JS读取Cookie，提升安全性
   server.servlet.session.cookie.same-site=Lax # 适配现代浏览器的Cookie策略
   

2. 确保Security配置里正确设置了未认证的跳转逻辑
   在SecurityConfig的configure(HttpSecurity http)里，确保添加了authorizeHttpRequests的规则，比如：

   .authorizeHttpRequests(auth -> auth
           .requestMatchers("/cheese/login", "/cheese/register", "/css/**", "/js/**").permitAll()
           .anyRequest().authenticated())
   

   这样所有未认证的请求都会被重定向到/cheese/login。

三、额外检查点 #

• 确认你的UserController里的/cheese/account端点是正确的，并且没有额外的重定向逻辑干扰：

  @GetMapping("/cheese/account")
  public String accountPage(Model model, Principal principal) {
      // 你的业务逻辑
      return "account"; // 确保返回的视图名称正确
  }
  

• 检查Heroku的日志，看看首次登录时的重定向请求日志，确认URL是否被正确生成：
  在Heroku CLI里执行heroku logs --tail，查看登录请求的响应状态和重定向地址。

最后，部署修改后的代码到Heroku，测试首次登录和无痕窗口的访问情况，应该就能解决这两个问题了。

内容的提问来源于stack exchange，提问作者user2411290