使用@FrameworkEndpoint的Spring Security性Oaut2注销

Question

我试图注销通过撤销access_token像这样：

@FrameworkEndpoint
public class SecurityLogoutController {
  @Autowired
  private ConsumerTokenServices                 consumerTokenServices;

  @DeleteMapping( "/oauth/token" )
  public ResponseEntity<Void> logout( WebRequest request ) {
    String bearer = "bearer";
    String authorizationHeader = request.getHeader( HttpHeaders.AUTHORIZATION );
    log.info( "authorization header: {}", authorizationHeader );
    if ( authorizationHeader != null && StringUtils.containsIgnoreCase( authorizationHeader, bearer ) ) {
        String accessTokenID = authorizationHeader.substring( bearer.length() + 1 );
        log.info( "access_token: {}", accessTokenID );
        consumerTokenServices.revokeToken( accessTokenID );
    }
    return ...;
  }
}

但每次我和邮递员一起发送删除请求时，我都会得到这样的回复：

{
 "timestamp": "2018-05-30T01:09:11.710+0000",
 "status": 401,
 "error": "Unauthorized",
 "message": "Unauthorized",
 "path": "/oauth/token"
}

endpoint在幕后受到Spring Security的保护，我不知道如何以及在哪里保护此endpoint。我不明白的是：为什么客户端要再次进行身份验证，因为要获得它已经验证过的access_token？这对我来说似乎很奇怪。

现在，当我对客户端进行身份验证时，Postman会自动替换授权标题值，并将其设置为基本身份验证。类似于：Basic Y2hpY293YS11aXNlcnZpY2U6Y2aXNlcnZpY2U=

需要一些帮助。。。谢谢

Answer 1

这实际上是有道理的，因为已经登录的用户可以使用提供的令牌进行注销。浏览器应用程序肯定会传递客户端id和密码。

就连我也有同样的问题，我也在网上发布了同样的问题。好一种解决方法是使用client_id和secret进行基本身份验证，重要的是传递另一个名为AUTH-TOKEN（或其他）的头，其中包含要删除的实际令牌的值。这是密码

@RequestMapping(method = RequestMethod.DELETE, value = "/oauth/token")
@ResponseBody
public void revokeToken(HttpServletRequest request) {
    String authorization = request.getHeader("AUTH-TOKEN");
    if (authorization != null && authorization.contains("Bearer")) {
                String tokenId = authorization.substring("Bearer".length() + 1);
                System.out.println("tokenId : " + tokenId);
                tokenServices.revokeToken(tokenId);
                //tokenStore.removeRefreshToken(token);   
     }
}