Vaadin24+Spring Boot集成GitLab OAuth2：登出后需强制重新认证

核心问题原因 #

登出时仅清理了本地应用的会话和认证信息，但GitLab端的用户会话仍处于活跃状态，所以再次点击登录按钮时，GitLab直接复用已有会话完成认证，跳过了凭证输入步骤。需要同时清理本地会话和触发GitLab的登出流程。

步骤1：修正Spring Security的Logout配置 #

更新SecurityConfig，配置自定义的logoutSuccessHandler，让登出后先跳转至GitLab的登出端点，再重定向回应用的登录页：

@Configuration
public class SecurityConfig extends VaadinWebSecurity {

    // GitLab的登出端点，私有GitLab实例替换为对应域名
    private static final String GITLAB_LOGOUT_URL = "https://gitlab.com/users/sign_out";
    // 登出后跳转回应用的登录页，需在GitLab OAuth应用的"允许重定向URI"中添加此地址
    private static final String POST_LOGOUT_REDIRECT_URI = "http://localhost:8080/login";

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.authorizeHttpRequests(auth -> {
                    auth.requestMatchers("/login").permitAll();
                    auth.requestMatchers("/register").permitAll();
                    auth.requestMatchers("/oauth2/**").permitAll();
                })
                .csrf(csrf -> csrf.disable())
                .oauth2Login(o2 -> {
                    o2.loginPage("/login");
                    o2.successHandler(new SimpleUrlAuthenticationSuccessHandler("/home"));
                })
                .logout(logout -> logout
                        .logoutUrl("/logout")
                        .invalidateHttpSession(true)
                        .clearAuthentication(true)
                        .addLogoutHandler(new SecurityContextLogoutHandler())
                        // 自定义登出成功处理器，跳转到GitLab完成会话清理
                        .logoutSuccessHandler((request, response, authentication) -> {
                            String gitlabLogoutRedirect = GITLAB_LOGOUT_URL + "?redirect_uri=" + URLEncoder.encode(POST_LOGOUT_REDIRECT_URI, StandardCharsets.UTF_8);
                            response.sendRedirect(gitlabLogoutRedirect);
                        }));

        super.configure(http);
    }
}

注意：必须在GitLab的OAuth应用设置中，将POST_LOGOUT_REDIRECT_URI添加到**"允许的重定向URI"**列表中，否则GitLab会拒绝跳转请求。

步骤2：修正Vaadin的登出触发方式 #

原Anchor组件可能因Vaadin路由拦截导致异常，改用Button配合页面跳转的方式更可靠：

Icon icon = new Icon("vaadin", "power-off");
icon.setColor("white");

Button logoutButton = new Button(icon, click -> {
    // 在当前窗口打开登出接口，避免Vaadin路由拦截
    Page.getCurrent().open("/logout", "_self");
});

如果坚持使用Anchor，需确保路由忽略和目标窗口设置正确：

Anchor anchor = new Anchor("/logout", icon);
anchor.setRouterIgnore(true);
anchor.setTarget("_self"); // 强制在当前窗口跳转，绕过Vaadin路由处理

步骤3：移除自定义的Logout Controller #

Spring Security的logout配置已足够处理登出逻辑，删除AppController中的/logout映射，避免冲突。

验证效果 #

1. 点击登出按钮，会先跳转到GitLab的登出页面完成会话清理，再自动跳转回应用登录页。
2. 再次点击"Login with GitLab"按钮，会强制跳转到GitLab的凭证输入页面，要求重新登录。

内容的提问来源于stack exchange，提问作者Andre