基于AAD的Spring Boot应用在Chrome中无法登出求助

你当前的登出配置仅清理了应用自身的JSESSIONID Cookie，但没有终止Azure AD的单点登录(SSO)会话。Chrome浏览器会保留AAD域下的会话凭证（如ESTSAUTHPERSISTENT等Cookie），导致跳转到登录页时自动复用已有会话完成登录，该问题和应用端的登出操作无关。

1. 修改Spring Security登出逻辑，触发AAD全局登出 #

更新你的SecurityFilterChain配置，在登出成功后重定向到Azure AD的全局登出端点，同时指定登出后返回应用的地址，以此终止AAD的SSO会话：

import java.net.URLEncoder;
import java.nio.charset.StandardCharsets;
import org.springframework.security.web.authentication.logout.SecurityContextLogoutHandler;

// ...

http.logout()
    .deleteCookies("JSESSIONID")
    .logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
    .logoutSuccessHandler((request, response, authentication) -> {
        // 清理本地安全上下文
        new SecurityContextLogoutHandler().logout(request, response, authentication);
        
        // 替换为你的Azure AD租户ID、客户端ID和应用首页地址
        String tenantId = "你的租户ID";
        String clientId = "你的应用客户端ID";
        String postLogoutRedirectUri = "http://localhost:8080/"; // 应用首页URL
        
        // 构造AAD全局登出URL，编码重定向地址
        String aadLogoutUrl = String.format(
            "https://login.microsoftonline.com/%s/oauth2/v2.0/logout?post_logout_redirect_uri=%s&client_id=%s",
            tenantId,
            URLEncoder.encode(postLogoutRedirectUri, StandardCharsets.UTF_8),
            clientId
        );
        
        response.sendRedirect(aadLogoutUrl);
    });

2. 配置Azure AD应用注册的注销回调 #

登录Azure门户，进入你的应用注册页面：

• 导航到身份验证 -> 添加平台 -> 选择Web平台
• 在注销URL中填入你的应用首页地址（和上面的postLogoutRedirectUri一致）
• 确保该地址已添加到重定向URI列表中（部分AAD版本需要在"允许的注销重定向URI"中单独配置）

3. 清理Chrome中AAD的残留会话Cookie #

Chrome可能保留了AAD的持久化会话Cookie，手动清理步骤：

• 打开Chrome设置 -> 隐私和安全 -> 网站设置 -> Cookie和网站数据 -> 查看所有Cookie和网站数据
• 搜索login.microsoftonline.com，删除所有相关Cookie后重新测试

4. 可选：改用POST方式处理登出请求 #

虽然当前GET请求能触发登出，但POST是Spring Security登出的最佳实践，可避免CSRF风险（若启用了CSRF保护）。修改配置：

.logoutRequestMatcher(new AntPathRequestMatcher("/logout", "POST"))

同时在前端页面用表单提交POST请求到/logout，带上CSRF令牌（若启用）。

内容的提问来源于stack exchange，提问作者SaWo