Passport.js谷歌登录后req.logout仅登出站点，谷歌账号仍在线的问题咨询

1. 共享设备的安全担忧是否合理？ #

完全合理。在共享/公共设备上，用户登出你的站点但仍保持谷歌账号登录状态时，后续使用设备的人可以直接访问该谷歌账号关联的所有服务——包括无需重新验证就能登录你的站点（Passport.js的谷歌OAuth授权流程在用户已登录谷歌时可能静默完成），还能查看Gmail、Drive等私密内容，这显然存在严重的隐私和安全风险。

2. 如何实现「彻底」登出？ #

Passport.js本身没有内置谷歌全局登出的功能，因为这属于谷歌账号的全局操作，需要借助谷歌官方登出端点实现。具体步骤如下：

• 第一步：保留你原本的站点会话销毁逻辑（通过req.logout()销毁服务器端用户会话）
• 第二步：销毁本地会话后，将用户重定向到谷歌的登出URL，完成谷歌账号全局登出后再跳转回你的站点。

示例代码（基于Express框架）：

app.get('/logout', (req, res, next) => {
  // 销毁本地站点会话
  req.logout((err) => {
    if (err) return next(err);
    
    // 构造谷歌登出跳转链接，替换成你的站点回调地址
    const redirectTo = encodeURIComponent('https://your-website.com/logout-success');
    const googleLogoutUrl = `https://accounts.google.com/Logout?continue=https://appengine.google.com/_ah/logout?continue=${redirectTo}`;
    
    // 重定向到谷歌登出页面
    res.redirect(googleLogoutUrl);
  });
});

需要注意：这种方式会让用户彻底登出谷歌所有关联服务，建议在用户触发登出操作时添加确认提示，避免用户误操作（比如只想登出你的站点，不想退出谷歌账号）。

内容的提问来源于stack exchange，提问作者DaveW