在Spring Boot中实现“注销”功能

Question

为了获得基本的安全功能，我在我的pom.xml中添加了以下初学者包

    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>

并在应用程序中添加了以下两个属性。属性：

安全使用者name=客人
安全。使用者密码=tiger

现在，当我点击我的主页时，我得到了登录框，登录工作正常。

现在我想实现“注销”功能。当用户单击链接时，他/她就会注销。我注意到登录没有在我的浏览器中添加任何cookie。我假设Spring Security为用户创建了一个HttpSession对象。这是真的吗？我是否需要“作废”此会话并将用户重定向到其他页面？在基于Spring Boot的应用程序中实现“注销”功能的最佳方法是什么？

Answer 1

迟到总比没有好。Spring Boot默认为您提供许多安全组件，包括CSRF保护。其中之一是强制POST注销，请参阅此处：http://docs.spring.io/spring-security/site/docs/3.2.4.RELEASE/reference/htmlsingle/#csrf-logout

正如这所表明的，您可以使用以下内容来覆盖此内容：

http.authorizeRequests()
.antMatchers("/admin/**").hasRole("ADMIN")                                      
.anyRequest().fullyAuthenticated()
.and()
.formLogin().loginPage("/login").failureUrl("/login?error").permitAll()
.and()
.logout().logoutRequestMatcher(new AntPathRequestMatcher("/logout")).logoutSuccessUrl("/login");

最后一行是重要的一行。