Spring Boot登出后过期Cookie仍可正常请求问题排查

你当前的代码只是让客户端浏览器删除了Token Cookie，但服务器端并没有作废已签发的Token本身。只要原Token还在它的15分钟有效期内，不管客户端有没有Cookie，只要请求里携带这个有效的Token，服务器就会通过验证并执行请求操作。

你遗漏的核心点 #

• 缺少Token的主动作废机制：Cookie操作仅作用于客户端，服务器端没有记录该Token已失效，导致旧Token仍可被恶意利用。

解决办法 #

1. 实现Token黑名单存储

在用户登出时，将该Token加入黑名单（推荐用Redis，因为支持过期时间），过期时间设置为和Token的有效期一致。每次验证Token时，先检查是否在黑名单中，存在则直接拒绝请求。

示例代码：

// 登出时将Token加入黑名单
public void handleLogout(String token) {
    // 假设Token有效期是15分钟
    redisTemplate.opsForValue().set("token_blacklist:" + token, "invalid", 15, TimeUnit.MINUTES);
}

// Token验证拦截器中检查黑名单
public boolean isValidToken(String token) {
    // 先检查黑名单
    if (redisTemplate.hasKey("token_blacklist:" + token)) {
        return false;
    }
    // 再执行常规的Token签名、有效期验证
    try {
        Jwts.parser().setSigningKey(yourSecretKey).parseClaimsJws(token);
        return true;
    } catch (Exception e) {
        return false;
    }
}

2. 其他可选方案

• 如果使用的是有状态Token（比如Token信息存在数据库），可以直接在数据库中标记该Token为失效状态，验证时查询数据库状态。
• 缩短Token的有效期，同时实现刷新Token机制，降低旧Token被滥用的窗口时间。

内容的提问来源于stack exchange，提问作者Sam Johnson