Spring Securityでログイン画面が自動表示される仕組みとは？初心者向けに丁寧に解説！

新人と先輩の会話形式で理解しよう

新人

「Spring Securityを追加しただけで、ログイン画面が勝手に出てきたんですが、なぜですか？」

先輩

「それは、Spring Securityが最初からログイン画面を自動で表示する仕組みを持っているからなんだ。」

新人

「自分で何も画面を作っていないのに、どうやって表示しているんですか？」

先輩

「それはSpring Securityの内部でフィルターが動いていて、未認証のアクセスを検知して、デフォルトのログイン画面を出してるんだよ。」

新人

「へぇ、そんなことまでやってくれるんですね！その仕組み、詳しく知りたいです！」

1. Spring Securityを導入すると自動でログイン画面が表示される理由

Spring Securityをプロジェクトに導入して依存関係に追加すると、アプリケーション全体に対して認証（ログイン）と認可（アクセス制御）が自動的に有効になります。特に設定をしなくても、ログインしていないユーザーがページにアクセスしようとすると、Spring Securityが自動的にログイン画面を表示してくれます。

この自動表示の仕組みは、Spring Securityのセキュリティフィルターチェーンによって実現されています。開発者が明示的にログインページを作らなくても、デフォルトのログインページが用意されていて、それが表示される仕組みです。

ログイン画面の自動表示は、以下のように依存を追加するだけで有効になります。


implementation 'org.springframework.boot:spring-boot-starter-security'

このように、Gradleのbuild.gradleにSpring Securityの依存を追加し、アプリケーションを実行するだけで、ログイン画面が自動で組み込まれた状態になります。

2. 自動ログイン画面を支える仕組みとは？フィルターと認証の流れ

Spring Securityでは、HTTPリクエストが送信されるとまずセキュリティフィルターが処理を行います。このフィルターの中には、認証に関わる処理が組み込まれており、ログイン状態を確認して、未認証であればログイン画面へリダイレクトするようになっています。

この流れを支えているのが、Spring Securityの中心的な機能であるFilterChainProxyと、その中で動作する複数のSecurityFilterです。

その一例として、以下のような流れになります。

① ユーザーがブラウザでページにアクセス
② Spring Securityのフィルターがリクエストをキャッチ
③ 未認証なら、デフォルトの/loginにリダイレクト
④ 自動生成されたログイン画面が表示される

この処理の中心となるのが、UsernamePasswordAuthenticationFilterというフィルターです。これはログインフォームのユーザー名とパスワードを処理する専用のフィルターで、認証が成功すればセッションに情報を保存し、以降はログイン済みとして扱われます。

開発者が特別な設定を行わなくても、Spring Securityがあらかじめこのフィルターを構成してくれているため、アプリケーションにSpring Securityを追加した瞬間からログイン保護が有効になります。


@Controller
public class SampleController {

    @GetMapping("/hello")
    public String helloPage() {
        return "hello"; // hello.html などのテンプレートを表示
    }
}

このような@Controllerで作成されたページにアクセスしようとすると、未ログイン状態では自動的にログインページにリダイレクトされる仕組みになっています。

実際にブラウザでURLを直接叩いても、以下のような自動生成されたログインフォームが表示されることが確認できます。


Username:
Password:
[ Login ]

このログイン画面はHTMLで自動生成されており、開発者が特別に画面を作成しなくても使用できるため、認証機能をすぐに試したい場合に非常に便利です。

3. 自動ログイン画面への遷移の流れを理解しよう

Spring Securityを導入すると、ログインしていないユーザーが保護されたページにアクセスした際に、自動的に/loginというパスにリダイレクトされます。この/loginは、Spring Securityが内部的に処理を割り当てているURLであり、開発者が明示的に画面を用意しなくても、ログインフォームが表示されるようになっています。

この遷移は、次のような流れで実行されます。

① ユーザーが未認証の状態でURLにアクセス
② Spring Securityの認証用フィルターが未認証であることを検知
③ 認証を促すために、自動的に/loginへリダイレクト
④ デフォルトのログイン画面が表示される

たとえば、以下のような@Controllerでページを用意した場合でも、ログインしていなければ自動的にログイン画面へ移動させられます。


@Controller
public class SecuredPageController {

    @GetMapping("/dashboard")
    public String showDashboard() {
        return "dashboard";
    }
}

このように、ログインしていないユーザーが/dashboardにアクセスしようとすると、Spring Securityがそのリクエストを受け取り、認証されていないことを確認した上で/loginへ遷移させます。

4. Spring Securityが用意するデフォルトログインフォームの中身

自動的に表示される/loginページは、Spring Securityが最初から内部的に用意しているHTMLフォームです。これは特別な設定をしなくても表示されるようになっており、以下のような構造になっています。


<form method="post" action="/login">
    <label>Username:</label>
    <input type="text" name="username"/>
    <label>Password:</label>
    <input type="password" name="password"/>
    <button type="submit">Login</button>
</form>

このHTMLフォームでは、usernameとpasswordというフィールド名が重要です。Spring Securityはこれらのパラメータを使ってログイン認証を行います。開発者が独自にログイン画面を作成する場合でも、この名前を使うことでスムーズにSpring Securityと連携できます。

ログインボタンがクリックされると、フォームはPOSTメソッドで/loginにデータを送信し、Spring Securityが内部でその認証処理を行います。

この自動生成されるログインフォームはシンプルですが、テストや開発の初期段階では非常に有用です。

5. ログイン成功・失敗後のリダイレクト処理の仕組み

ログインフォームから/loginに送信された情報が正しい場合、Spring Securityはログイン成功と判断し、リダイレクト処理を行います。このとき、ユーザーはログイン前にアクセスしようとしていた元のページへリダイレクトされるのが基本的な動作です。

たとえば、未ログイン状態で/dashboardへアクセスし、ログイン画面が表示されたとします。ログインに成功すれば、自動的に/dashboardに戻されます。これをリダイレクト先の保存機能と呼びます。

一方で、ログインに失敗した場合は、再度ログイン画面に戻り、エラーメッセージが表示されます。


ログインに失敗しました。ユーザー名またはパスワードが正しくありません。

ログイン失敗の理由は、認証情報が一致しなかったためです。Spring Securityはそのまま/login?errorのようなURLにリダイレクトし、ログイン画面上にエラー表示を追加します。

ログイン後の処理をカスタマイズするには、JavaコードでSecurityFilterChainやAuthenticationSuccessHandlerを使って、リダイレクト先や挙動を変更することも可能です。


@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .formLogin(form -> form
            .defaultSuccessUrl("/home", true)
            .failureUrl("/login?error=true")
        );
    return http.build();
}

defaultSuccessUrl()でログイン成功後のリダイレクト先を明示し、failureUrl()でログイン失敗時の遷移先を指定できます。

このように、Spring Securityはログイン成功と失敗のリダイレクト処理も細かく制御できるため、実運用に合わせたログイン体験を提供することが可能です。

6. application.propertiesでログイン画面のカスタマイズをしよう

Spring Securityでは、デフォルトのログインURLは/loginに固定されていますが、開発の現場では独自のログイン画面を用意して、URLも自由に変更したい場合がよくあります。そうしたときに便利なのが、application.propertiesファイルによる設定です。

この設定ファイルは、Spring Bootアプリケーション全体の動作に関わるプロパティを定義するファイルで、ログインURLやログアウト処理の挙動などもここで簡単に変更できます。

たとえば、ログインページのURLを/my-loginに変更したい場合、以下のように設定します。


spring.security.login-page=/my-login

ただし、Spring Security 6以降では、プロパティによるログイン画面の変更は非推奨になっており、代わりにJavaコード（SecurityConfigクラス）で設定するのが主流です。

とはいえ、ログイン処理に関連する次のようなプロパティは、まだ有効に使うことができます。


server.servlet.session.timeout=30m
spring.security.user.name=admin
spring.security.user.password=pass1234

このように設定しておけば、ログイン用のユーザー名やパスワードも簡単に指定できます。開発初期ではこのようなプロパティを活用しながら、認証機能を効率的に試すことが可能です。

7. SecurityConfigを使ってログイン画面を差し替える方法

Spring Securityで本格的にログイン画面を差し替える場合は、Javaコードでセキュリティ設定を行うSecurityConfigクラスを作成して対応します。この方法では、ログインページのパスや、ログイン後のリダイレクト先、ログイン失敗時の処理などを細かく制御できます。

まず、@Configurationと@Beanを使って、セキュリティフィルターチェーンを定義します。次のように記述します。


@Configuration
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/login", "/css/**").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginPage("/login")
                .loginProcessingUrl("/authenticate")
                .defaultSuccessUrl("/home", true)
                .failureUrl("/login?error=true")
                .permitAll()
            )
            .logout(logout -> logout
                .logoutUrl("/logout")
                .logoutSuccessUrl("/login?logout=true")
                .permitAll()
            );
        return http.build();
    }
}

loginPage()でログイン画面のURLを指定し、loginProcessingUrl()でフォームのPOST送信先を設定します。また、defaultSuccessUrl()でログイン成功後の遷移先、failureUrl()で失敗時のリダイレクト先を設定します。

このようにSecurityConfigを使えば、Spring Security ログイン画面カスタマイズのすべてをJavaコードで完結でき、プロジェクト全体にわたる認証設定を統一的に管理できます。

8. 自動ログイン画面を使う際の注意点とは？

自動で表示されるログイン画面は非常に便利ですが、実際のアプリケーション開発ではいくつかの注意点があります。とくに、セッション管理やセキュリティ上の落とし穴について知っておくことが重要です。

まず第一に、Spring Securityは認証情報をHTTPセッションに保持します。つまり、ユーザーがログインすると、ブラウザ側にセッションIDが発行され、そのIDを使って認証状態を管理しています。この仕組みは便利な反面、セッションタイムアウトやセッション固定攻撃（Session Fixation）といった問題が発生する可能性があります。

セッションタイムアウトを設定しておくことで、一定時間操作がない場合に自動的にログアウトさせることができます。


server.servlet.session.timeout=15m

また、セッション固定攻撃とは、攻撃者があらかじめ決めたセッションIDを被害者に使わせることで、不正アクセスを試みる攻撃です。Spring Securityでは、デフォルトでログイン時にセッションを再生成することで、このリスクに対処しています。

さらに注意したいのが、開発段階でよくある「ログアウトしても画面がそのまま表示されている」問題です。これはブラウザのキャッシュが原因である場合が多いため、HTMLにキャッシュ制御のヘッダーを追加する対応が必要です。

また、ログイン失敗時のエラー内容の扱いにも注意が必要です。セキュリティの観点から「ユーザー名が正しくない」「パスワードが間違っている」といった具体的なメッセージは避け、「ログインに失敗しました」のように曖昧なメッセージにするのが一般的です。

このように、Spring Securityの自動ログイン画面を使う際には、セッション管理、ログアウト、エラー処理といったセキュリティに関する基本的なポイントを押さえておくことが、安全なアプリケーションを作るために不可欠です。