Java Spring 登出功能异常求助：登出后仍可访问受保护接口

问题描述 #

配置.logout()相关方法后，Spring服务器无法正常完成登出，操作流程如下：

• 发送POST请求登录，获取JWT token
• 使用该token发起GET请求（如获取数据库数据），可正常访问
• 调用/logout执行登出操作
• 再次执行第二步的GET请求，仍能成功获取数据，不符合预期

已尝试但无效的方案：

• 添加.clearAuthentication(true).invalidateHttpSession(true)配置
• 配置HttpSessionEventPublisher Bean

核心原因 #

你采用了JWT身份认证+无状态Session管理（SessionCreationPolicy.STATELESS），而Spring Security默认的登出机制是基于Session的：

• JWT是自包含令牌，服务器不会存储token状态，只要token未过期且签名合法，就能通过认证
• 默认登出操作仅清理Security上下文和Session，但客户端持有的JWT token依然有效，自然能继续访问接口

解决方案 #

方案1：实现JWT黑名单机制 #

通过存储失效的token，在认证时校验token是否已被拉黑，具体步骤：

1. 实现token黑名单存储（推荐用Redis，自动过期）

@Service
public class BlacklistService {
    private final RedisTemplate<String, String> redisTemplate;

    public BlacklistService(RedisTemplate<String, String> redisTemplate) {
        this.redisTemplate = redisTemplate;
    }

    public void addToBlacklist(String token, long expirationMillis) {
        redisTemplate.opsForValue().set(token, "blacklisted", expirationMillis, TimeUnit.MILLISECONDS);
    }

    public boolean isBlacklisted(String token) {
        return Boolean.TRUE.equals(redisTemplate.hasKey(token));
    }
}

2. 自定义LogoutHandler，登出时将token加入黑名单

public class JwtLogoutHandler implements LogoutHandler {
    private final BlacklistService blacklistService;
    private final JwtTokenUtil jwtTokenUtil;

    public JwtLogoutHandler(BlacklistService blacklistService, JwtTokenUtil jwtTokenUtil) {
        this.blacklistService = blacklistService;
        this.jwtTokenUtil = jwtTokenUtil;
    }

    @Override
    public void logout(HttpServletRequest request, HttpServletResponse response, Authentication authentication) {
        // 从请求头提取JWT token（根据你的实际提取逻辑调整）
        String authHeader = request.getHeader("Authorization");
        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            String token = authHeader.substring(7);
            long remainingTime = jwtTokenUtil.getRemainingExpirationTime(token);
            blacklistService.addToBlacklist(token, remainingTime);
        }
        // 清理Security上下文
        SecurityContextHolder.clearContext();
    }
}

3. 在SecurityConfig中配置自定义LogoutHandler，移除无效的Session相关配置

@Autowired
private BlacklistService blacklistService;
@Autowired
private JwtTokenUtil jwtTokenUtil;

// 修改filterChain中的logout配置
.logout(logout -> logout
        .logoutUrl("/logout")
        .addLogoutHandler(new JwtLogoutHandler(blacklistService, jwtTokenUtil))
        .clearAuthentication(true))
// 移除invalidateHttpSession和deleteCookies，STATELESS模式下Session不存在

4. 在JwtAuthorizationFilter中添加黑名单校验

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws ServletException, IOException {
    String token = extractToken(request); // 你的token提取逻辑
    if (token != null && jwtTokenUtil.validateTokenSignature(token)) {
        // 先检查token是否在黑名单
        if (blacklistService.isBlacklisted(token)) {
            response.sendError(HttpServletResponse.SC_UNAUTHORIZED, "Token已失效");
            return;
        }
        // 原有的认证逻辑
        UserDetails userDetails = jwtUserDetailsService.loadUserByUsername(jwtTokenUtil.getUsernameFromToken(token));
        UsernamePasswordAuthenticationToken authToken = new UsernamePasswordAuthenticationToken(userDetails, null, userDetails.getAuthorities());
        SecurityContextHolder.getContext().setAuthentication(authToken);
    }
    chain.doFilter(request, response);
}

方案2：缩短JWT过期时间+刷新token机制 #

• 将access token的过期时间缩短至15-30分钟
• 登录时同时返回access token和刷新token（刷新token有效期设为7天左右）
• 提供/refresh-token接口，用刷新token换取新的access token
• 登出时将刷新token加入黑名单，同时让客户端丢弃本地存储的所有token

这种方案更适合高并发场景，避免黑名单存储的性能开销。

额外注意事项 #

• 确认/logout请求已被允许访问，可在requestMatchers中添加.requestMatchers("/logout").authenticated()（需携带有效token才能登出）
• 检查JwtAuthorizationFilter的过滤器顺序，确保它在LogoutFilter之前执行（Spring Security默认顺序已满足，自定义过滤器时需注意）

内容的提问来源于stack exchange，提问作者rattulus