注销不适用于Spring Boot、Spring Security和胸腺五叶

Question

我正在尝试为我们的 Spring 启动应用程序添加注销功能，但 Spring 注销不起作用......经过身份验证的用户仍然存在，并且不会清除安全上下文。真正让我感到惊讶的是，它有时有效，有时无效。我不知道为什么！

蒂梅拉夫：

<li><a class="dropdown-item" href="javascript: document.logoutForm.submit()" role="menuitem"><i class="fas fa-sign-out-alt"></i> Logout</a></li>
           <form name="logoutForm" th:action="@{/logout}" method="post" th:hidden="true">
                        <input hidden type="submit" value="Sign Out"/>
            </form>

下面是我注销的代码块；

.logout()
.clearAuthentication(true)
.logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
.logoutSuccessUrl("/oauth2/authorization/login")
.addLogoutHandler(new HeaderWriterLogoutHandler(
      new ClearSiteDataHeaderWriter(
            ClearSiteDataHeaderWriter.Directive.CACHE,
            ClearSiteDataHeaderWriter.Directive.COOKIES,
            ClearSiteDataHeaderWriter.Directive.STORAGE)));

我也尝试过，但没有帮助;

.deleteCookies("JSESSIONID")
.invalidateHttpSession(true) 

有人知道它为什么会有如此奇怪的行为吗？

Answer 1

我有类似的问题。现在它已解决。我使用了以下代码：

.and().logout().logoutSuccessUrl("/logoutSuccess").deleteCookies("JSESSIONID").invalidateHttpSession(true);

试试这个。它在我的机器上工作。

Answer 2

假设问题是oauth2登录/注销配置的配置不完整：

@EnableWebSecurity
public class WebSecurity extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .antMatchers("/").permitAll()
                .anyRequest().authenticated()
                .and()
                .logout()
                .logoutSuccessHandler(logoutSuccessHandler())
                .invalidateHttpSession(true)
                .clearAuthentication(true)
                .deleteCookies("JSESSIONID")
                .and()
                .oauth2Login();
    }
    
    private LogoutSuccessHandler logoutSuccessHandler() { 
        ...
    }
}

注意两个时刻:

• .oauth2Login（） - 使用 OAuth 2.0 配置身份验证支持
• .logoutSuccessHandler（...） - 在用户结束会话的正确 oauth2 服务器注销endpoint上重定向。不幸的是，我不知道您的oauth2提供程序，无论如何，我建议查看OidcClientInitiatedLogoutSuccessHandler以找出如何重定向到注销URL。如果您不使用 openid OAuth2 提供程序，则可以基于 SimpleUrlLogoutSuccessHandler 实现您自己的注销处理程序，您应该只知道注销 URL 和 url 参数，以便在 OAuth2 服务器上成功注销后重定向。