Spring Security中为登出跳转添加Flash属性的实现方法咨询

这个问题我之前也碰到过，确实因为LogoutSuccessHandler处于Spring Security的Filter执行链中，而RedirectAttributes是Spring MVC提供的、绑定在请求的MVC处理上下文里的对象，所以没法直接在onLogoutSuccess方法中获取到它。不过有几个可行的方案可以实现登出跳转时添加Flash属性的需求，我给你详细说说：

方案一：利用Spring MVC的FlashMapManager手动管理Flash属性 #

Spring MVC的FlashMap和FlashMapManager是实现Flash属性的底层机制，即使在Filter层面也可以直接使用它们来添加Flash属性。具体步骤如下：

1. 自定义LogoutSuccessHandler，在其中创建FlashMap并添加属性
2. 使用FlashMapManager将FlashMap保存到响应中，确保跳转后能被目标页面获取

示例代码：

@Component
public class CustomLogoutSuccessHandler implements LogoutSuccessHandler {

    // 使用Spring MVC默认的SessionFlashMapManager
    private final FlashMapManager flashMapManager = new SessionFlashMapManager();

    @Override
    public void onLogoutSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
        // 创建FlashMap并添加属性
        FlashMap flashMap = new FlashMap();
        flashMap.put("logoutMessage", "您已成功登出，欢迎再次回来！");
        
        // 将FlashMap保存到响应中，确保跳转后能被读取
        flashMapManager.saveOutputFlashMap(flashMap, request, response);
        
        // 跳转到登录页
        response.sendRedirect("/login");
    }
}

然后在Spring Security配置中启用这个自定义的Handler：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Autowired
    private CustomLogoutSuccessHandler customLogoutSuccessHandler;

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .logout(logout -> logout
                .logoutSuccessHandler(customLogoutSuccessHandler)
                // 其他登出配置...
            );
        return http.build();
    }
}

之后在登录页的模板（比如Thymeleaf）中就可以直接读取这个Flash属性了：

<div th:if="${logoutMessage}" class="alert alert-info">
    <span th:text="${logoutMessage}"></span>
</div>

方案二：通过HttpSession手动模拟Flash属性 #

Flash属性本质上是基于HttpSession实现的，只是Spring MVC会自动帮我们在跳转后清除属性。我们可以手动模拟这个逻辑：

1. 在LogoutSuccessHandler中将属性存入HttpSession
2. 在登录页的Controller中读取属性，并立即从Session中移除（模拟Flash属性“用完即删”的特性）

示例代码：
首先是自定义LogoutSuccessHandler：

@Component
public class CustomLogoutSuccessHandler implements LogoutSuccessHandler {

    @Override
    public void onLogoutSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
        // 将属性存入Session
        request.getSession().setAttribute("logoutMessage", "您已安全登出");
        // 跳转到登录页
        response.sendRedirect("/login");
    }
}

然后是登录页的Controller：

@Controller
public class LoginController {

    @GetMapping("/login")
    public String loginPage(HttpSession session, Model model) {
        // 读取Session中的属性
        String logoutMessage = (String) session.getAttribute("logoutMessage");
        if (logoutMessage != null) {
            model.addAttribute("logoutMessage", logoutMessage);
            // 移除属性，避免下次访问还能看到
            session.removeAttribute("logoutMessage");
        }
        return "login";
    }
}

这种方法简单直接，不需要依赖MVC的Flash机制，适合场景简单的情况。

方案三：自定义登出的Controller端点 #

如果不想在Filter层面处理，我们可以绕过Spring Security的默认登出Handler，自己写一个MVC Controller来处理登出逻辑，这样就能直接使用RedirectAttributes了：

示例代码：

@Controller
public class CustomLogoutController {

    @GetMapping("/custom-logout")
    public String handleLogout(RedirectAttributes redirectAttributes, 
                               Authentication authentication, 
                               HttpServletRequest request) throws ServletException {
        // 手动触发Spring Security的登出逻辑
        new SecurityContextLogoutHandler().logout(request, null, authentication);
        
        // 添加Flash属性
        redirectAttributes.addFlashAttribute("logoutMessage", "登出成功，期待您的再次访问！");
        
        // 跳转到登录页
        return "redirect:/login";
    }
}

然后在Spring Security配置中关闭默认的登出处理，并允许访问自定义的登出端点：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .logout(logout -> logout
                .disable() // 关闭默认登出处理
            )
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/custom-logout", "/login").permitAll()
                .anyRequest().authenticated()
            );
        return http.build();
    }
}

这种方法完全贴合Spring MVC的开发习惯，代码更直观，但需要手动处理登出的安全逻辑。

以上三种方案都能实现你的需求，你可以根据自己的项目场景选择最合适的一种。

内容的提问来源于stack exchange，提问作者Rolch2015