SpringBoot JWT实现登出接口后原有令牌仍可访问受保护接口问题求解

你的登出逻辑失效，核心是默认的SecurityContextLogoutHandler没有处理你的身份令牌，具体原因如下：

• SecurityContextLogoutHandler的默认处理逻辑仅包含3个操作：清空当前请求线程的SecurityContextHolder上下文、作废当前关联的HTTP Session、清除Session中存储的认证信息。它不会对业务中用于身份校验的令牌做任何失效处理。
• 你的身份校验逻辑是基于令牌实现的：
  • 如果使用JWT这类无状态自包含令牌，令牌本身的有效性只和签名、过期时间有关，服务端默认不存储有效令牌列表，只要令牌未过期、签名合法就会被认为有效，你当前的登出逻辑没有将该令牌标记为失效，自然还能正常通过校验。
  • 如果使用服务端存储的令牌（如Redis存的access_token），你当前的登出逻辑也没有删除该令牌、或者标记其为失效，校验逻辑查询到该令牌仍然存在就会认为有效。
• 你清空的只是当前登出请求线程对应的SecurityContext，后续其他请求携带相同令牌访问时，认证过滤器会重新解析令牌生成有效的Authentication对象，绑定到新请求的线程上下文里，完全不受之前登出操作的影响。
• 额外排查点：如果你的Spring Security开启了默认的CSRF保护，@GetMapping类型的登出接口会被CSRF校验拦截，可能导致登出逻辑根本没有执行。

根据你使用的令牌类型选择对应方案即可：

方案1：使用JWT等无状态令牌 #

新增令牌黑名单机制：

1. 登出时提取当前请求携带的有效令牌，存入Redis等缓存，缓存过期时间和JWT本身的过期时间保持一致
2. 自定义JWT校验过滤器，每次解析令牌前先查询该令牌是否在黑名单中，如果存在直接返回401未认证
   修改后的登出接口示例：

@GetMapping("/logout")
public String getLogoutPage(HttpServletRequest request){
    // 从请求头提取JWT，示例规则为 Authorization: Bearer {token}
    String authHeader = request.getHeader("Authorization");
    String token = authHeader.substring(7);
    // 解析令牌获取剩余有效时间
    long expireRemaining = JwtUtil.getExpireTime(token) - System.currentTimeMillis();
    // 存入黑名单
    redisTemplate.opsForValue().set("jwt:blacklist:" + token, "1", expireRemaining, TimeUnit.MILLISECONDS);
    // 清空当前上下文
    SecurityContextHolder.clearContext();
    return "redirect:/login";
}

JWT校验过滤器新增逻辑示例：

String authHeader = request.getHeader("Authorization");
if (authHeader != null && authHeader.startsWith("Bearer ")) {
    String token = authHeader.substring(7);
    // 先校验是否在黑名单
    if (Boolean.TRUE.equals(redisTemplate.hasKey("jwt:blacklist:" + token))) {
        response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
        return;
    }
    // 后续原有令牌校验逻辑...
}

方案2：使用服务端存储的令牌 #

登出时直接删除对应令牌即可：

@GetMapping("/logout")
public String getLogoutPage(HttpServletRequest request){
    String token = request.getHeader("Authorization").substring(7);
    // 直接从Redis删除当前用户的有效令牌
    redisTemplate.delete("oauth:token:" + token);
    SecurityContextHolder.clearContext();
    return "redirect:/login";
}

额外优化建议 #

• 如果你的项目开启了CSRF保护，建议将登出接口改为@PostMapping，或者在Security配置中排除登出接口的CSRF校验：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.csrf(csrf -> csrf.ignoringAntMatchers("/logout"));
}

• 前后端分离项目无需返回重定向，可直接返回JSON格式的操作结果。

内容的提问来源于stack exchange，提问作者mateo cunha