配置authenticationEntryPoint后Spring Security WebFlux登出失效问题

问题根源 #

你已经定位到核心问题：当配置exceptionHandling.authenticationEntryPoint后，Spring Security的LoginPageSpec会自动跳过LogoutPageGeneratingWebFilter的注册，导致GET /logout无法匹配生成登出页面的逻辑，POST /logout也会因缺少对应处理链路失效。

可行方案 #

方案一：手动注册LogoutPageGeneratingWebFilter #

既然框架不再自动加载该过滤器，直接手动将其注册到Spring容器即可恢复默认登出页面功能：

@Bean
public LogoutPageGeneratingWebFilter logoutPageGeneratingWebFilter() {
    return new LogoutPageGeneratingWebFilter();
}

注册后，即便配置了自定义authenticationEntryPoint，GET /logout仍能正常返回默认登出页面，POST /logout也会触发标准登出流程，同时不影响无授权请求返回401的逻辑。

方案二：独立配置登出端点的处理规则 #

在ServerHttpSecurity配置中，单独为/logout端点指定权限与处理逻辑，避免被全局认证入口配置覆盖：

@Bean
public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    http
        // 其他安全配置（如oauth2、csrf等）
        .exceptionHandling(exceptions -> exceptions
            .authenticationEntryPoint((exchange, ex) -> {
                // 自定义无授权返回401的逻辑
                exchange.getResponse().setStatusCode(HttpStatus.UNAUTHORIZED);
                return exchange.getResponse().setComplete();
            })
        )
        .logout(logout -> logout
            .logoutUrl("/logout")
            .logoutSuccessHandler(customLogoutSuccessHandler()) // 绑定你的自定义登出成功处理器
            .permitAll() // 允许未认证用户访问登出端点（可根据业务需求调整）
        );
    return http.build();
}

该方案能确保登出端点的处理逻辑独立生效，配合方案一的过滤器使用，可同时保留默认登出页面和401返回功能。

方案三：自定义登出页面端点 #

若不想依赖框架自带的过滤器，可自行实现简单端点返回登出页面，完全控制页面内容：

@RestController
public class LogoutPageController {
    @GetMapping("/logout")
    public Mono<String> getLogoutPage() {
        // 返回自定义HTML登出页面，或重定向到前端登出页面
        return Mono.just("<html><body>" +
            "<form method='post' action='/logout'>" +
            "<button type='submit'>确认登出</button>" +
            "</form></body></html>");
    }
}

此方式无需依赖框架过滤器，配合logout()配置中的POST /logout处理逻辑，即可实现完整的登出功能，同时不影响401返回逻辑。

内容的提问来源于stack exchange，提问作者jorge-plaza