使用Spring Security更新用户角色时如何强制登出目标用户

问题排查与实现方案 #

一、JDBC TokenStore 数据未入库排查 #

• 确认是否显式配置JdbcTokenStore为全局Token存储实现，而非使用默认的内存存储。需要在授权服务器配置类中手动注入并指定该实现，示例配置如下：

@Bean
public TokenStore tokenStore(DataSource dataSource) {
    return new JdbcTokenStore(dataSource);
}

@Override
public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
    endpoints
        .tokenStore(tokenStore(dataSource))
        // 其余配置：authenticationManager、userDetailsService等
        ;
}

• 确认OAuth2依赖版本与表结构匹配，不同版本的Spring Security OAuth2要求的oauth_access_token、oauth_refresh_token表结构存在差异，字段不匹配会导致数据静默写入失败。
• 检查当前数据源的写入权限，以及对应表的字段类型、长度是否符合要求，权限不足或字段异常也会导致写入失败。

二、指定用户强制登出实现方案 #

完全可以实现该需求，以下提供两种适配不同场景的方案：

方案1：Token黑名单方案（通用、无存储依赖）

该方案无需调整现有Token存储逻辑，适配内存存储、JWT、JDBC存储等所有场景：

• 使用Redis（集群场景）或本地Caffeine缓存（单机场景）维护用户黑名单，存储结构为用户ID: 过期时间，过期时间设置为你当前签发的Token最大有效时长即可。
• 当修改用户角色为管理员时，将目标用户ID写入黑名单。
• 新增全局请求过滤器，每次请求校验Token时，先判断当前Token对应的用户ID是否在黑名单中，若存在则直接返回401未授权，拦截请求。
• 黑名单中数据会随Token自然过期自动清理，无需额外维护。

方案2：JDBC TokenStore 主动失效方案（需解决Token入库问题后使用）

• 排查完Token入库问题后，在需要强制登出用户时，调用JdbcTokenStore的findTokensByUserName(String userName)方法获取该用户所有有效Access Token。
• 遍历调用removeAccessToken(String tokenValue)、removeRefreshToken(String tokenValue)方法删除库中对应该用户的所有有效令牌，后续用户持旧令牌请求时会直接校验失败，完成强制登出。

两种方案按需选择即可，方案1适配性更强，改动成本更低；方案2逻辑更直观，无需额外新增过滤器逻辑。

内容的提问来源于stack exchange，提问作者EleXorZ