Spring Security登出重定向不生效的异常问题咨询

我来帮你搞定这个登出重定向的坑，你遇到的问题其实是Spring Security的配置优先级和请求类型判断逻辑导致的，咱们一步步拆解解决：

一、先搞懂为什么默认返回204 No Content #

Spring Security自带的DefaultLogoutSuccessHandler会根据请求的请求头类型区分处理逻辑：

• 如果是浏览器发起的请求（比如请求头带Accept: text/html），才会触发重定向到默认的/login?logout；
• 如果是AJAX/JSON类型的请求（比如请求头是Accept: application/json），它会直接返回204 No Content，不会做页面跳转。
  你可以先检查下你的登出请求头，是不是带了非HTML格式的Accept参数。

二、为什么设置logoutSuccessUrl后依然不生效？ #

如果你的请求确实是浏览器端的页面跳转请求，但配置logoutSuccessUrl没起作用，核心原因是**logoutSuccessUrl和logoutSuccessHandler是互斥优先级关系**：当你手动指定logoutSuccessHandler后，之前配置的logoutSuccessUrl会被直接忽略——Spring Security会使用你传入的处理器实例，而不是默认的逻辑。

你之前的代码里直接new SimpleUrlLogoutSuccessHandler()，这个实例默认的跳转地址就是"/"，所以才会跳转到根路径，完全没用到你设置的/myUrl。

三、正确的解决方案 #

根据你的业务场景，分两种情况处理：

场景1：浏览器请求，需要跳转到指定页面 #

如果是给浏览器端做页面跳转，不需要手动创建SimpleUrlLogoutSuccessHandler，直接配置logoutSuccessUrl即可，前提是别覆盖默认的处理器：

@Override
protected void configure(HttpSecurity http) throws Exception {
    // 其他配置...
    http
        .logout()
        .logoutUrl("/api/v1/auth/logout")
        .logoutSuccessUrl("/myUrl") // 直接生效，无需额外指定处理器
        .permitAll(); // 记得给登出地址放行，避免未授权拦截
    // 其他配置...
}

如果一定要手动指定SimpleUrlLogoutSuccessHandler，必须把跳转地址手动设置到这个实例上：

@Override
protected void configure(HttpSecurity http) throws Exception {
    // 其他配置...
    SimpleUrlLogoutSuccessHandler successHandler = new SimpleUrlLogoutSuccessHandler();
    successHandler.setDefaultTargetUrl("/myUrl"); // 手动绑定跳转地址
    successHandler.setAlwaysUseDefaultTargetUrl(true); // 可选：强制跳转到指定地址，忽略之前的请求来源

    http
        .logout()
        .logoutUrl("/api/v1/auth/logout")
        .logoutSuccessHandler(successHandler);
    // 其他配置...
}

场景2：API请求，需要返回自定义响应（比如JSON） #

如果是前后端分离的API接口，不需要页面跳转，而是要返回JSON响应，可以自定义一个登出成功处理器：

@Override
protected void configure(HttpSecurity http) throws Exception {
    // 其他配置...
    http
        .logout()
        .logoutUrl("/api/v1/auth/logout")
        .logoutSuccessHandler((request, response, authentication) -> {
            // 自定义响应内容
            response.setStatus(HttpStatus.OK.value());
            response.setContentType(MediaType.APPLICATION_JSON_VALUE);
            response.getWriter().write("{\"code\":200,\"msg\":\"登出成功\"}");
            response.getWriter().flush();
        });
    // 其他配置...
}

四、额外注意事项 #

• 登出请求默认要求是POST方法：Spring Security为了防止CSRF攻击，默认只接受POST类型的登出请求，如果要用GET请求，需要额外配置.logoutRequestMatcher(new AntPathRequestMatcher("/api/v1/auth/logout", "GET"))，但不推荐这么做；
• 检查CSRF配置：如果项目启用了CSRF（默认启用），登出请求必须携带CSRF令牌，否则会被拦截，登出失败自然也不会触发重定向。

内容的提问来源于stack exchange，提问作者Yaniv K.