Spring Security删除用户时如何清除其关联Cookie？

方案一：用Spring Security的SessionRegistry追踪并失效用户会话 #

Spring Security自带的SessionRegistry可以管理所有活跃用户会话，通过它能快速找到目标用户的所有会话并强制失效。

步骤1：配置SessionRegistry与会话管理 #

先在Security配置中注册SessionRegistry，开启会话追踪：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeRequests(auth -> auth.anyRequest().authenticated())
        .httpBasic()
        .and()
        .sessionManagement(session -> session
            .sessionRegistry(sessionRegistry()) // 绑定会话注册表
        );
    return http.build();
}

@Bean
public SessionRegistry sessionRegistry() {
    return new SessionRegistryImpl();
}

// 注册会话事件发布器，让Spring能监听会话的创建/销毁
@Bean
public HttpSessionEventPublisher httpSessionEventPublisher() {
    return new HttpSessionEventPublisher();
}

步骤2：在用户删除逻辑中失效会话 #

在UserService的删除方法里，注入SessionRegistry，遍历找到目标用户的所有会话并失效：

@Service
public class UserService {
    @Autowired
    private SessionRegistry sessionRegistry;

    public void deleteUser(String username) {
        // 先执行数据库删除操作
        // userRepository.deleteByUsername(username);
        
        // 遍历所有已认证用户的主体信息
        List<Object> principals = sessionRegistry.getAllPrincipals();
        for (Object principal : principals) {
            if (principal instanceof UserDetails userDetails && username.equals(userDetails.getUsername())) {
                // 获取该用户的所有活跃会话
                List<SessionInformation> sessions = sessionRegistry.getAllSessions(principal, false);
                for (SessionInformation session : sessions) {
                    session.expireNow(); // 强制会话失效
                }
            }
        }
    }
}

方案二：分布式环境结合Spring Session（以Redis为例） #

如果是多节点部署，单节点的SessionRegistry不生效，这时候可以用Spring Session把会话存在Redis中，删除用户时直接清理Redis里的对应会话数据。

步骤1：引入Spring Session Redis依赖 #

在pom.xml中添加：

<dependency>
    <groupId>org.springframework.session</groupId>
    <artifactId>spring-session-data-redis</artifactId>
</dependency>

步骤2：配置Spring Session #

@Configuration
@EnableRedisHttpSession(maxInactiveIntervalInSeconds = 1800) // 设置会话超时时间
public class SpringSessionConfig {
    // 配置Redis连接工厂，根据你的环境调整参数
    @Bean
    public LettuceConnectionFactory connectionFactory() {
        return new LettuceConnectionFactory("localhost", 6379);
    }
}

步骤3：删除用户时清理Redis会话 #

Spring Session会用特定格式存储会话索引和会话数据，删除时先通过用户索引找到所有会话ID，再删除对应的会话键：

@Service
public class UserService {
    @Autowired
    private StringRedisTemplate redisTemplate;

    public void deleteUser(String username) {
        // 先删除数据库中的用户
        // userRepository.deleteByUsername(username);
        
        // 构造用户会话索引键
        String indexKey = "spring:session:index:org.springframework.session.FindByIndexNameSessionRepository.PRINCIPAL_NAME_INDEX_NAME:" + username;
        Set<String> sessionIds = redisTemplate.opsForSet().members(indexKey);
        
        if (sessionIds != null && !sessionIds.isEmpty()) {
            // 删除用户会话索引
            redisTemplate.delete(indexKey);
            // 删除每个会话的详细数据和过期键
            for (String sessionId : sessionIds) {
                redisTemplate.delete("spring:session:sessions:" + sessionId);
                redisTemplate.delete("spring:session:sessions:expires:" + sessionId);
            }
        }
    }
}

方案三：自定义会话ID存储（无Spring Session场景） #

如果不想引入Spring Session，可以在用户登录时把会话ID和用户名关联存在数据库/缓存里，删除用户时遍历失效这些会话。

步骤1：监听会话创建，存储用户-会话关联 #

自定义会话监听器，在会话创建时记录关联关系：

@Component
public class SessionListener implements HttpSessionListener {
    @Autowired
    private UserSessionRepo userSessionRepo; // 自定义Repo，存储username和sessionId的映射

    @Override
    public void sessionCreated(HttpSessionEvent se) {
        HttpSession session = se.getSession();
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        if (auth != null && auth.isAuthenticated() && auth.getPrincipal() instanceof UserDetails userDetails) {
            userSessionRepo.save(userDetails.getUsername(), session.getId());
        }
    }

    @Override
    public void sessionDestroyed(HttpSessionEvent se) {
        userSessionRepo.deleteBySessionId(se.getSession().getId());
    }
}

步骤2：删除用户时失效关联会话 #

在UserService中通过会话上下文找到对应会话并失效：

@Service
public class UserService {
    @Autowired
    private UserSessionRepo userSessionRepo;
    @Autowired
    private org.apache.catalina.session.StandardManager sessionManager; // Tomcat容器的会话管理器，不同容器需调整

    public void deleteUser(String username) {
        // 先删除数据库用户
        // userRepository.deleteByUsername(username);
        
        List<String> sessionIds = userSessionRepo.getSessionIdsByUsername(username);
        for (String sessionId : sessionIds) {
            HttpSession session = sessionManager.findSession(sessionId);
            if (session != null) {
                session.invalidate(); // 失效会话
            }
            userSessionRepo.deleteBySessionId(sessionId);
        }
    }
}

内容的提问来源于stack exchange，提问作者italktothewind