Spring Webflux中Spring Security的OAuth2登出功能异常求助

你遇到的登出后自动登录问题，核心原因是本地应用会话未彻底清除，同时OAuth2授权服务器（Okta）的SSO会话未终止，导致访问受保护资源时直接复用了授权服务器的有效会话。

具体修复步骤： #

1. 完善Logout配置，清除本地会话
   在securityWebFilterChain的logout配置中，明确登出路径并添加Cookie清除逻辑，确保本地会话完全失效：

   @Bean
   public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
       return http
           .authorizeExchange(authorizeExchangeSpec -> {
               authorizeExchangeSpec.pathMatchers(HttpMethod.OPTIONS).permitAll();
               authorizeExchangeSpec.pathMatchers(HttpMethod.GET, "/assets/**").permitAll();
               authorizeExchangeSpec.anyExchange().authenticated();
           })
           .oauth2Login(withDefaults())
           .logout(logoutSpec -> logoutSpec
               .logoutUrl("/logout") // 明确登出路径
               .logoutSuccessHandler(oidcLogoutSuccessHandler())
               .deleteCookies("SESSION") // 清除WebFlux默认会话Cookie
           )
           .build();
   }
   

2. 配置授权服务器登出端点，终止SSO会话
   当前代码未配置Okta的登出端点，导致OidcClientInitiatedServerLogoutSuccessHandler无法触发授权服务器的会话终止流程。需要在oktaClientRegistration()中添加该配置：

   private ClientRegistration oktaClientRegistration() {
       return ClientRegistration
           .withRegistrationId("okta")
           .clientId(authenticationProperties.getOauth2().getClient("okta").getClientId())
           .clientSecret(authenticationProperties.getOauth2().getClient("okta").getClientSecret())
           .redirectUri("{baseUrl}/login/oauth2/code/{registrationId}")
           .scope(authenticationProperties.getOauth2().getClient("okta").getScope())
           .authorizationGrantType(new AuthorizationGrantType("authorization_code"))
           .authorizationUri(authenticationProperties.getOauth2().getClient("okta").getAuthorizationUri())
           .tokenUri(authenticationProperties.getOauth2().getClient("okta").getTokenUri())
           .userInfoUri(authenticationProperties.getOauth2().getClient("okta").getUserInfoUri())
           .jwkSetUri(authenticationProperties.getOauth2().getClient("okta").getJwkSetUri())
           .endSessionUri(authenticationProperties.getOauth2().getClient("okta").getEndSessionUri()) // 添加登出端点
           .userNameAttributeName("email")
           .clientName("okta")
           .build();
   }
   

   同时在配置文件（如application.yml）中补充Okta的登出端点地址：

   authentication:
     oauth2:
       client:
         okta:
           # 其他配置保持不变
           end-session-uri: https://{你的Okta域名}/oauth2/v1/logout
   

3. 在Okta控制台配置允许的登出跳转地址
   登录Okta管理控制台，找到你的应用，在General标签页的Login部分，将Post Logout Redirect URIs设置为你的应用根地址（如http://localhost:8080），确保授权服务器登出后能正确跳回应用，且不会阻止跳转。

验证 #

完成以上配置后，点击登出按钮时：

• 应用会清除本地会话Cookie
• 自动跳转到Okta的登出页面，终止SSO会话
• 跳转回应用登录页后，再次访问受保护资源时会要求重新登录

内容的提问来源于stack exchange，提问作者nicholasnet