Spring OAuth2集成Google认证后/logout登出失效问题求助

问题根源 #

你当前的配置只处理了Spring应用内部的会话和Cookie清理，但忽略了Google OAuth2的全局登出。用户的登录状态同时保存在Spring会话和Google的第三方会话中，仅清理本地会话的话，下次访问应用时Google会自动复用已有会话完成认证，导致看起来没登出就跳回首页。

解决方案 #

需要在登出流程中添加Google登出的重定向，同时优化本地会话清理逻辑：

1. 自定义登出成功处理器 #

创建一个处理器，在Spring本地登出完成后，重定向到Google的登出端点，确保用户从Google的会话中也登出：

import org.springframework.security.core.Authentication;
import org.springframework.security.web.authentication.logout.SimpleUrlLogoutSuccessHandler;
import jakarta.servlet.ServletException;
import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletResponse;
import java.io.IOException;

public class GoogleOAuth2LogoutSuccessHandler extends SimpleUrlLogoutSuccessHandler {

    // Google登出URL，带上跳转回应用的参数
    private static final String GOOGLE_LOGOUT_URL = "https://accounts.google.com/Logout?continue=%s";

    @Override
    public void onLogoutSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
        // 拼接应用首页的跳转地址
        String appHomeUrl = request.getScheme() + "://" + request.getServerName() + ":" + request.getServerPort() + "/";
        String googleLogoutRedirect = String.format(GOOGLE_LOGOUT_URL, appHomeUrl);
        // 重定向到Google登出页面
        getRedirectStrategy().sendRedirect(request, response, googleLogoutRedirect);
    }
}

2. 修改Spring Security配置 #

替换原来的logoutSuccessUrl，改用自定义处理器，同时精简无效的Cookie删除项（先确认Cookie名称是否真实存在，避免无效操作）：

return httpSecurity
        .sessionManagement(session ->
                session.sessionCreationPolicy(SessionCreationPolicy.ALWAYS)
                        .sessionFixation().migrateSession()
                        .maximumSessions(1)
                        .expiredUrl("/login?expired"))
        .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
        .csrf(csrf -> csrf.disable())
        .oauth2Login(withDefaults())
        .logout((logout) -> {
            logout.logoutUrl("/logout");
            logout.invalidateHttpSession(true);
            logout.clearAuthentication(true);
            // 只删除实际存在的Cookie，比如JSESSIONID是Spring默认会话Cookie
            logout.deleteCookies("JSESSIONID");
            // 使用自定义登出处理器
            logout.logoutSuccessHandler(new GoogleOAuth2LogoutSuccessHandler());
        })
        .build();

额外检查点 #

• 用浏览器开发者工具（F12）查看应用实际的Cookie列表，确认你要删除的Cookie名称是否正确，避免删除不存在的Cookie做无用功。
• 生产环境建议启用CSRF保护，此时登出请求必须用POST方式，避免CSRF攻击风险。

内容的提问来源于stack exchange，提问作者Rajeev Shukla