Spring Authorization Server与angular-auth-oidc-client登出异常求助

问题现象 #

• Angular应用通过angular-auth-oidc-client实现OIDC认证，登录功能正常，但调用logoff()方法无法完成登出
• Spring日志显示：调用/oauth2/revoke端点后，被重定向到/login页面，随后客户端又重复调用/oauth2/revoke
• 自定义的tokenRevocationEndpoint处理器日志Token Revocation Request received从未打印

核心排查思路 #

1. 修复SecurityFilterChain路径匹配冲突 #

你的第三个SecurityFilterChain（@Order(3)）配置了securityMatcher("/oauth2/**", "/login")，这会拦截所有/oauth2开头的请求，且要求请求必须authenticated()。但/oauth2/revoke端点是客户端认证端点，不需要用户登录会话，因此该FilterChain会将匿名请求重定向到登录页，这正是日志中重定向的原因。

解决步骤：
修改第三个FilterChain的路径匹配规则，移除/oauth2/**，仅保留/login：

@Bean 
@Order(3)
public SecurityFilterChain defaultSecurityFilterChain(HttpSecurity http) throws Exception {
    http
        .securityMatcher("/login")
            .authorizeHttpRequests()
            .requestMatchers("/login")
            .authenticated()
            .and()
        .formLogin(Customizer.withDefaults());
    setupCors(http);
    return http.build();
} 

2. 验证Token Revoke端点的客户端认证是否正确 #

/oauth2/revoke端点要求客户端通过客户端认证（如Basic Auth、表单参数传递client_id和client_secret）发起请求，而非用户会话认证。日志中AnonymousAuthenticationFilter的记录表明请求未携带有效客户端认证信息，导致被拦截。

检查点：

• 确认angular-auth-oidc-client的登出配置中，是否在调用/oauth2/revoke时正确传递了客户端凭证
• 若使用PKCE流程，需确认客户端是否符合PKCE的认证要求，无需传递client_secret但需验证code_challenge

3. 确保自定义RevocationResponseHandler生效 #

自定义处理器日志未打印，说明请求未到达Authorization Server的处理链，被其他FilterChain拦截。解决路径匹配冲突后，可添加日志或断点验证：

• 在第一个authorizationServerSecurityFilterChain中添加日志，确认是否进入了tokenRevocationEndpoint配置逻辑
• 检查是否在OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http)之后，有其他配置覆盖了端点处理器

4. 检查CORS配置的完整性 #

每个FilterChain都调用了setupCors(http)，需确保CORS配置允许：

• Angular客户端的Origin访问/oauth2/revoke端点
• 允许OPTIONS和POST请求方法
• 允许传递客户端认证相关的请求头（如Authorization）

5. 校验OIDC登出流程的完整性 #

OIDC标准登出流程需同时完成：

1. 前端清除本地存储的令牌
2. 调用OIDC的end_session_endpoint（而非仅/oauth2/revoke）实现全局登出

检查angular-auth-oidc-client的logoff()配置，是否启用了完整的OIDC登出流程，而非仅调用令牌撤销端点。

内容的提问来源于stack exchange，提问作者Scorpio76