快捷導(dǎo)航

Spring Security OAuth2.0登出的實(shí)現(xiàn)

更新時(shí)間：2026年03月12日 09:02:16 作者：后會無期77

本文主要介紹了Spring Security OAuth2.0登出的實(shí)現(xiàn),文中通過示例代碼介紹的非常詳細(xì),對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧

退出

Spring security 默認(rèn)實(shí)現(xiàn)了logout 退出，訪問/logout ，即可直接退出。
http://localhost:8080/security-springboot/logout

退出后，可以通過訪問其他url 判斷是否退出成功。

如何自定義退出

在Spring Security中自定義退出（Logout）功能，主要通過配置SecurityConfig中的logout()相關(guān)方法實(shí)現(xiàn)。以下是詳細(xì)步驟和示例代碼：

1. 基礎(chǔ)配置：自定義退出路徑和重定向

通過LogoutConfigurer配置退出路徑、退出成功后的重定向地址及需要清除的憑證（如Cookie、Session）：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .logout()
                .logoutUrl("/custom-logout")      // 自定義退出請求路徑（默認(rèn)/logout）
                .logoutSuccessUrl("/login")       // 退出成功后重定向的頁面
                .invalidateHttpSession(true)      // 使Session失效（默認(rèn)true）
                .deleteCookies("JSESSIONID")      // 刪除指定Cookie
                .and()
            // ...其他配置（如授權(quán)、認(rèn)證等）
    }
}

2. 添加自定義退出邏輯（如日志、業(yè)務(wù)操作）

通過addLogoutHandler()或logoutSuccessHandler()實(shí)現(xiàn)退出前/后的自定義邏輯：

http
    .logout()
        .logoutUrl("/custom-logout")
        .addLogoutHandler(customLogoutHandler())  // 退出前執(zhí)行（如清理Token）
        .logoutSuccessHandler(customSuccessHandler()) // 退出后處理（如返回JSON）

// 示例：自定義LogoutHandler（清理用戶Token）
@Bean
public LogoutHandler customLogoutHandler() {
    return (request, response, authentication) -> {
        // 獲取當(dāng)前用戶Token并標(biāo)記失效（需結(jié)合具體Token存儲方案）
        String token = request.getHeader("Authorization");
        tokenService.invalidateToken(token);
    };
}

// 示例：自定義LogoutSuccessHandler（返回JSON響應(yīng)）
@Bean
public LogoutSuccessHandler customSuccessHandler() {
    return (request, response, authentication) -> {
        response.setContentType("application/json;charset=UTF-8");
        response.getWriter().write("{\"code\":200, \"msg\":\"退出成功\"}");
    };
}

3. 集成CSRF保護(hù)（默認(rèn)啟用）

退出請求默認(rèn)需要CSRF Token驗(yàn)證。前端需在退出請求中攜帶X-CSRF-TOKEN（可從Cookie或Meta標(biāo)簽獲?。?，或在配置中禁用CSRF（不推薦）：

http
    .csrf().disable() // 禁用CSRF（僅測試環(huán)境使用）

注意：如果讓logout在GET請求下生效，必須關(guān)閉防止CSRF攻擊csrf().disable() 。如果開啟了CSRF，必須使用post方式請求/logout

4. 處理并發(fā)會話退出

若需強(qiáng)制用戶在其他終端的會話退出，可結(jié)合SessionRegistry：

@Autowired
private SessionRegistry sessionRegistry;

http
    .sessionManagement()
        .maximumSessions(1)          // 最大會話數(shù)
        .sessionRegistry(sessionRegistry)
    .and()
    .logout()
        .logoutUrl("/custom-logout")
        .logoutSuccessHandler((request, response, authentication) -> {
            // 強(qiáng)制所有會話退出
            new SecurityContextLogoutHandler().logout(request, response, authentication);
            sessionRegistry.getAllSessions(authentication.getName(), false)
                .forEach(sessionInformation -> sessionInformation.expireNow());
        })

5. 退出時(shí)清除自定義安全上下文

若使用自定義SecurityContext（如存儲額外用戶信息），需在退出時(shí)手動清理：

http
    .logout()
        .logoutUrl("/custom-logout")
        .addLogoutHandler((request, response, authentication) -> {
            SecurityContextHolder.clearContext(); // 清除安全上下文
        })

logoutHandler：

一般來說，LogoutHandler的實(shí)現(xiàn)類被用來執(zhí)行必要的清理，因而他們不應(yīng)該拋出異常。

下面是Spring Security提供的一些實(shí)現(xiàn)：

PersistentTokenBasedRememberMeServices 基于持久化token的RememberMe功能的相關(guān)清理
TokenBasedRememberMeService 基于token的RememberMe功能的相關(guān)清理
CookieClearingLogoutHandler 退出時(shí)Cookie的相關(guān)清理
CsrfLogoutHandler 負(fù)責(zé)在退出時(shí)移除csrfToken
SecurityContextLogoutHandler 退出時(shí)SecurityContext的相關(guān)清理

常見問題解決

退出后仍能訪問受保護(hù)資源：檢查是否清除了Session/Cookie，或重定向路徑是否正確。
CSRF Token缺失：確保前端退出請求攜帶有效Token，或配置http.csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())。
Token未失效：在自定義LogoutHandler中實(shí)現(xiàn)Token黑名單機(jī)制（如Redis存儲失效Token）。

通過以上配置，可靈活實(shí)現(xiàn)退出路徑定制、業(yè)務(wù)邏輯擴(kuò)展、會話管理及安全憑證清理。具體實(shí)現(xiàn)需結(jié)合項(xiàng)目使用的認(rèn)證方式（如Session、JWT、OAuth2）調(diào)整細(xì)節(jié)。

到此這篇關(guān)于Spring Security OAuth2.0登出的實(shí)現(xiàn)的文章就介紹到這了,更多相關(guān)Spring Security OAuth登出內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

您可能感興趣的文章: