使用Okta作为OIDC提供商时登出请求被CORS策略拦截的问题

核心原因 #

Okta的/oauth2/v1/logout端点是为浏览器重定向请求设计的，而非AJAX异步请求。你通过Spring的OidcClientInitiatedLogoutSuccessHandler发起AJAX请求的方式不符合该端点的设计逻辑，即便配置了CORS可信源，Okta也不会为该端点返回Access-Control-Allow-Origin响应头，进而触发CORS拦截。

解决方案 #

1. 修正Spring登出配置，改用浏览器重定向 #

不要在onLogoutSuccess中手动发起AJAX请求，让Spring自动处理重定向到Okta登出端点：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private ClientRegistrationRepository clientRegistrationRepository;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .logout(logout -> logout
                .logoutSuccessHandler(oidcLogoutSuccessHandler())
                .logoutUrl("/api/login/logout")
            );
    }

    private OidcClientInitiatedLogoutSuccessHandler oidcLogoutSuccessHandler() {
        OidcClientInitiatedLogoutSuccessHandler successHandler = 
            new OidcClientInitiatedLogoutSuccessHandler(clientRegistrationRepository);
        // 登出后跳转地址必须提前在Okta应用的Sign-out redirect URIs中配置
        successHandler.setPostLogoutRedirectUri("http://platform.test.com/testcontext");
        return successHandler;
    }
}

配置完成后，用户触发登出时，Spring会直接引导浏览器重定向到Okta的登出端点，从根源避免CORS问题。

2. 修正Okta端的配置遗漏 #

从报错信息看，你的请求来源是http://platform.test.com，但你仅将localhost添加到了Okta配置中，这是关键错误：

• 将http://platform.test.com添加到Okta应用的Sign-out redirect URIs列表
• 将http://platform.test.com添加到Okta的CORS可信源列表

3. 避免非标准登出方式 #

如果坚持用AJAX发起登出请求，Okta官方不推荐这种做法，且需要额外搭建后端代理（比如在你的服务中新增登出接口，由后端直接调用Okta登出端点，再将结果返回给前端），但这会增加系统复杂度，不如浏览器重定向的标准方式高效可靠。

内容的提问来源于stack exchange，提问作者Prateek Vyas