Spring Session（Redis）集成应用中调用/logout接口返回405 Method Not Allowed错误原因排查

你遇到的405错误主要有两个核心原因：

1. Spring Security默认的Logout端点仅支持POST请求：Spring Security为了安全考虑，默认要求登出请求必须使用POST方法，你用GET请求访问自然会触发Method Not Allowed错误。
2. 错误信息中path显示为/login的原因：当请求方法不被允许时，Spring Security会尝试重定向到登录页面，但你已经禁用了默认的表单登录，同时配置了/login为匿名可访问的端点，所以框架把重定向目标指向了这个自定义登录接口，导致错误信息里的路径显示异常。

至于你提到会话和Cookie已经被成功删除，这是因为GET请求还是触发了登出的核心销毁会话逻辑，但后续的响应处理因为方法不匹配抛出了错误，属于「逻辑执行了，但响应报错」的情况。

结合你使用外部React客户端的场景，可以选择以下两种方案：

方案一：改用POST请求访问/logout（推荐） #

从安全最佳实践来说，登出操作应该用POST请求（避免GET请求被恶意预加载），你只需要在Postman或React客户端中把请求方法改成POST即可，不需要修改后端配置。

方案二：配置Spring Security允许GET请求访问/logout #

如果你确实需要用GET请求实现登出，可以在安全配置中显式配置logout的请求方法：

修改你的configure(HttpSecurity http)方法中的logout部分：

http
    .logout()
    .logoutUrl("/logout")
    .invalidateHttpSession(true)
    .logoutRequestMatcher(new AntPathRequestMatcher("/logout", "GET")); // 新增此行，允许GET请求

配置完成后，Spring Security就会接受GET请求处理登出逻辑，不会再返回405错误。

额外注意点 #

• 虽然你现在禁用了CSRF，但如果后续开启CSRF保护，POST请求需要携带CSRF令牌，而GET请求（如果允许的话）会绕过CSRF检查，这也是更推荐用POST的核心原因。
• 你当前直接禁用了CORS，如果React客户端和后端不在同一域名下，后续可能会遇到跨域问题，建议根据实际需求配置CORS规则而非直接禁用。

内容的提问来源于stack exchange，提问作者Zhenyria