Spring Boot集成Google OAuth2：登录正常但登出功能异常的技术求助

我帮你梳理下当前登出流程里的几个核心问题，一步步来修复：

1. 自定义Logout端点的致命异常 #

你的/logout方法最后一行调用了auth.getPrincipal()，但在SecurityContextLogoutHandler.logout()执行后，SecurityContext已经被清空，此时auth大概率会变成匿名身份或者直接为null，这行代码会触发NullPointerException，直接导致浏览器返回空白页面。

先把这行多余的代码删掉：

@RequestMapping("/logout")
public String fetchSignoutSite(HttpServletRequest request, HttpServletResponse response) {
    Cookie rememberMeCookie = new Cookie("JSESSIONID", "");
    rememberMeCookie.setMaxAge(0);
    rememberMeCookie.setPath("/ben"); // 要匹配项目的context-path
    response.addCookie(rememberMeCookie);
    
    Authentication auth = SecurityContextHolder.getContext().getAuthentication();
    if (auth != null) {
        new SecurityContextLogoutHandler().logout(request, response, auth);
    }
    // 移除这行：auth.getPrincipal();
    return "redirect:/ben/login";
}

2. 未处理Google端的全局登出 #

你现在只清理了本地的JSESSIONID，但用户在Google那边的会话还处于活跃状态，所以打开新标签页访问项目时，Google会自动完成静默授权，导致用户看起来还在登录状态。要彻底登出，必须跳转到Google的登出URL完成全局会话清理。

修改logout方法，添加Google登出的跳转逻辑：

@RequestMapping("/logout")
public String fetchSignoutSite(HttpServletRequest request, HttpServletResponse response) {
    // 清理本地会话Cookie
    Cookie sessionCookie = new Cookie("JSESSIONID", "");
    sessionCookie.setMaxAge(0);
    sessionCookie.setPath("/ben");
    response.addCookie(sessionCookie);
    
    // 清空SecurityContext
    Authentication auth = SecurityContextHolder.getContext().getAuthentication();
    if (auth != null) {
        new SecurityContextLogoutHandler().logout(request, response, auth);
    }
    
    // 先跳转到Google登出，再回调回项目登录页
    String googleLogoutRedirect = "https://accounts.google.com/logout?continue=http://localhost:8181/ben/login";
    return "redirect:" + googleLogoutRedirect;
}

3. 消除Spring Security配置冲突 #

你同时配置了WebSecurityConfigurerAdapter里的.logout()规则和自定义/logout端点，这会导致逻辑冲突。建议统一用Spring Security的原生logout配置，移除自定义的/logout方法，调整configure方法如下：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.antMatcher("/**")
        .authorizeRequests()
            .antMatchers("/ben/login", "/logout").permitAll()
            .anyRequest().authenticated()
        .and()
            .logout()
                .logoutUrl("/logout")
                .logoutSuccessUrl("https://accounts.google.com/logout?continue=http://localhost:8181/ben/login")
                .invalidateHttpSession(true)
                .clearAuthentication(true)
                .deleteCookies("JSESSIONID")
                .permitAll();
}

这样Spring Security会自动处理本地会话清理，同时引导用户完成Google端的全局登出。

最后测试验证 #

1. 重启项目后点击登出按钮，应该会先跳转到Google的登出页面，再自动回到你的/ben/login页；
2. 打开新标签页访问项目，此时会要求重新进行Google授权登录；
3. 检查浏览器开发者工具的Cookie面板，确认JSESSIONID已被清除。

内容的提问来源于stack exchange，提问作者Captai-N