Spring Boot 3/Security 6下如何清除@RegisteredOAuth2AuthorizedClient的SecurityContext

在Spring Boot 3（Spring Security 6）中，原代码的SecurityContextHolder.clearContext()仅清除了当前线程的安全上下文，但Spring Security默认会将认证信息存储在HttpSession中。后续请求会从会话重新加载认证数据，导致无法强制用户重新登录。

核心修复思路 #

需要同时清除线程上下文的安全信息，以及HttpSession中存储的认证数据，确保下次访问端点时没有残留的认证状态。

方案一：通过HttpSession清除认证信息 #

直接删除会话中Spring Security存储安全上下文的属性，同时清除线程上下文：

@GetMapping("/start/oauth2Login")
public List<Map.Entry<String, Object>> start(OAuth2AuthenticationToken oAuth2AuthenticationToken, 
                                             @RegisteredOAuth2AuthorizedClient("oauth2-client") OAuth2AuthorizedClient authorizedClient,
                                             HttpSession session) {

    List<Map.Entry<String, Object>> entries = oAuth2AuthenticationToken
            .getPrincipal()
            .getAttributes()
            // 你的业务处理逻辑
            .entrySet()
            .stream()
            .toList();

    // 清除当前线程的安全上下文
    SecurityContextHolder.clearContext();
    // 删除会话中存储的Spring Security认证信息
    session.removeAttribute(HttpSessionSecurityContextRepository.SPRING_SECURITY_CONTEXT_KEY);

    return entries;
}

方案二：使用SecurityContextRepository规范清除（推荐） #

通过Spring Security提供的SecurityContextRepository操作会话中的认证数据，避免依赖内部常量：

@Autowired
private HttpSessionSecurityContextRepository securityContextRepository;

@GetMapping("/start/oauth2Login")
public List<Map.Entry<String, Object>> start(OAuth2AuthenticationToken oAuth2AuthenticationToken, 
                                             @RegisteredOAuth2AuthorizedClient("oauth2-client") OAuth2AuthorizedClient authorizedClient,
                                             HttpServletRequest request,
                                             HttpServletResponse response) {

    List<Map.Entry<String, Object>> entries = oAuth2AuthenticationToken
            .getPrincipal()
            .getAttributes()
            // 你的业务处理逻辑
            .entrySet()
            .stream()
            .toList();

    // 清除当前线程的安全上下文
    SecurityContextHolder.clearContext();
    // 向会话写入空的安全上下文，覆盖原有认证信息
    securityContextRepository.saveContext(null, request, response);

    return entries;
}

配套安全配置优化 #

为确保端点每次都触发OAuth2登录流程，需在SecurityFilterChain中配置正确的认证规则：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
            .authorizeHttpRequests(auth -> auth
                    .requestMatchers("/start/oauth2Login").authenticated()
                    .anyRequest().permitAll()
            )
            .oauth2Login(oauth2 -> oauth2
                    .defaultSuccessUrl("/start/oauth2Login") // 登录成功后跳转回端点
            )
            .sessionManagement(session -> session
                    .sessionFixation().migrateSession() // 防止会话固定攻击，每次登录生成新会话
            );
    return http.build();
}

关键说明 #

• Spring Security 6默认使用HttpSessionSecurityContextRepository将安全上下文持久化到HttpSession，仅清除SecurityContextHolder无法移除会话中的认证数据。
• 如果业务允许，也可以直接调用session.invalidate()使整个会话失效，但会丢失会话中的其他数据，需根据场景选择。

内容的提问来源于stack exchange，提问作者ddewaele