Symfony中Lexik+Gesdinet实现JWT登出失效问题排查

1. 修正防火墙登出配置 #

确保你的security.yaml中，JWT对应的防火墙正确配置了登出处理器，且不要设置stateless: true（无状态模式下TokenStorage不会被维护，清空操作无效）：

security:
    firewalls:
        main:
            pattern: ^/
            jwt: ~
            logout:
                path: app_logout
                handler: App\Security\CustomLogoutHandler # 关联自定义登出处理器

2. 用LogoutHandler替代自定义Controller逻辑 #

不要在Controller中单独写登出代码，实现Symfony的LogoutHandlerInterface来保证登出流程被框架正确触发：

namespace App\Security;

use Gesdinet\JWTRefreshTokenBundle\Model\RefreshTokenManagerInterface;
use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\HttpFoundation\Response;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
use Symfony\Component\Security\Http\Logout\LogoutHandlerInterface;
use Symfony\Component\Security\Core\Authentication\Token\Storage\TokenStorageInterface;

class CustomLogoutHandler implements LogoutHandlerInterface
{
    public function __construct(
        private RefreshTokenManagerInterface $refreshTokenManager,
        private TokenStorageInterface $tokenStorage
    ) {
    }

    public function logout(Request $request, Response $response, TokenInterface $token): void
    {
        // 删除当前用户所有关联的刷新令牌
        $user = $token->getUser();
        if ($user) {
            $refreshTokens = $this->refreshTokenManager->findBy(['user' => $user]);
            foreach ($refreshTokens as $refreshToken) {
                $this->refreshTokenManager->delete($refreshToken);
            }
        }

        // 强制清空TokenStorage并失效会话
        $this->tokenStorage->setToken(null);
        $request->getSession()->invalidate();
    }
}

在services.yaml中注册处理器：

App\Security\CustomLogoutHandler:
    tags:
        - { name: security.logout_handler, firewall: main }

3. 客户端必须清除本地Token #

JWT Access Token是无状态的，服务器无法主动作废未过期的Token。登出接口返回成功后，客户端必须立即清除本地存储（LocalStorage/Cookie）中的access_token和refresh_token，否则后续请求仍会携带有效Token导致接口返回用户信息。

4. 解决刷新令牌表新增记录问题 #

出现这种情况说明登出后客户端仍在调用刷新Token接口，用旧Refresh Token获取新Token。需确保：

• 登出时删除用户所有Refresh Token（而非单个）
• 客户端在登出后停止调用刷新接口
• 检查Gesdinet配置，开启refresh_token.remove_on_refresh确保刷新时旧Token被删除：

gesdinet_jwt_refresh_token:
    refresh_token_class: Gesdinet\JWTRefreshTokenBundle\Entity\RefreshToken
    remove_on_refresh: true

5. 修正TokenStorage残留问题 #

如果防火墙是有状态模式，确保在登出流程中调用$tokenStorage->setToken(null)并失效会话；如果是无状态模式，TokenStorage中的令牌仅存在于当前请求生命周期，后续请求若携带有效Token会重新生成，此时必须依赖客户端清除Token。

内容的提问来源于stack exchange，提问作者Mike