Spring Boot自定义登录页面导致/logout功能失效问题求助

问题原因 #

当配置自定义登录页.loginPage("/login")后，若登出请求以GET方式访问/logout，Spring MVC会将其视为静态资源请求（无对应控制器或Spring Security默认处理未生效），从而抛出NoResourceFoundException。而使用默认登录页时，Spring Security会自动处理GET方式的/logout请求，因此不会报错。

解决方案 #

方案1：使用POST方式提交登出请求（推荐） #

生产环境推荐用POST方式登出，避免CSRF风险。在自定义登录页或页面的登出按钮处，通过表单提交：

<form action="/logout" method="POST">
    <!-- 必须包含CSRF令牌，Spring Security默认启用CSRF保护 -->
    <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}">
    <button type="submit">退出登录</button>
</form>

此方式无需修改现有Security配置，保持原有的logout配置即可：

.logout((formLogout) -> formLogout.permitAll().logoutSuccessUrl("/"))

方案2：允许GET方式登出（不推荐） #

若因需求必须使用GET方式，可修改Security配置，显式指定/logout的GET请求由Spring Security处理：

.logout((formLogout) -> formLogout
        .permitAll()
        .logoutSuccessUrl("/")
        .logoutUrl("/logout")
        // 允许GET请求触发登出
        .logoutRequestMatcher(new AntPathRequestMatcher("/logout", "GET"))
)

注意：GET方式登出存在CSRF攻击风险，仅建议在测试环境或无安全要求的场景使用。

额外注意事项 #

确保已实现/login路径的控制器映射，返回自定义登录页视图：

@Controller
public class LoginController {
    @GetMapping("/login")
    public String showLoginPage() {
        return "login"; // 对应模板文件（如Thymeleaf的templates/login.html）
    }
}

内容的提问来源于stack exchange，提问作者Vincent Velthuizen