删除access_token注销后在Spring Security Oau2

Question

我在springsecurity和oauth2中注销有问题

我们使用Spring SecurityOAuth2保护REST服务。令牌和REST apiendpoint是无状态的，不需要会话。我只需要身份验证服务器一次登录验证，当我在rest客户端中调用注销服务时，它显示200响应，但没有删除授权。当我输入用户名和密码时，应该是同一个用户登录。但不注销。我还澄清了上下文。

这是我的控制器

`@Path("oauth2/logout")
 public class LogoutImpl implements LogoutSuccessHandler{ 
 private TokenStore tokenStore;
 @Autowired
 public LogoutImpl(TokenStore tokenStore) {
     this.tokenStore = tokenStore;
 }
 public void setTokenStore(TokenStore tokenStore) {
  this.tokenStore = tokenStore;
 }
 @Override
 public void onLogoutSuccess(HttpServletRequest request, HttpServletResponse  response, Authentication authentication)
   throws IOException, ServletException {
     removeaccess(request);
    SecurityContextHolder.clearContext();
    response.getOutputStream().write("\n\tYou Have Logged Out successfully.".getBytes());}
public void removeaccess(HttpServletRequest req) {
  String tokens = req.getHeader("Authorization");
 String value = tokens.substring(tokens.indexOf(" ")).trim();
  OAuth2AccessToken token = tokenStore.readAccessToken(value.split(" ")[0]);
  tokenStore.removeAccessToken(token);
  System.out.println("\n\tAccess Token Removed Successfully!!!!!!!!");
 }}
`  

Answer 1

我看到您正在使用授权标头，并且我认为令牌是 JWT。没有删除或撤销 JWT 的概念。它必须自行过期。有些人的观点会指出，当服务器无法撤销令牌并且不能用于企业应用程序时，这是一个缺点。

当客户端在另一个API中使用同一个令牌时，服务器会分析该令牌，如果该令牌在到期时间内且未被篡改，则将验证为真。

然而，如果您不使用JWT，情况将有所不同，答案也将无关紧要。