Spring Security 5.4.1 XML配置OAuth2全链路登出实现

（针对Spring Security 5.4.1，无Spring Boot场景）

核心问题根源 #

你之前无法注入ClientRegistrationRepository的本质原因，是没有显式给security:client-registrations标签指定可引用的Bean ID——如果不显式配置，命名空间解析器会给自动生成的ClientRegistrationRepository分配随机的内部Bean名，无法在配置中被其他Bean引用；但这个标签本身是支持自定义id属性的，根本不需要手动重写Bean替换自动配置。

分步配置实现 #

1. 给OAuth2客户端注册配置指定固定Bean ID #

找到现有安全配置中用于OAuth2登录的security:client-registrations节点，完全保留原有子配置不动，仅新增id属性：

<!-- 原有注册配置全部保留，仅加id属性供其他Bean引用 -->
<security:client-registrations id="oidcClientRepo">
    <security:registration
        client-id="你的客户端ID"
        client-secret="你的客户端密钥"
        scope="openid,profile,email"
        issuer-uri="https://你的授权服务器根地址"/>
</security:client-registrations>

这个操作不会触发任何自动配置逻辑的变更：命名空间解析器依然会生成完整的授权码流程、token刷新、用户信息获取等全链路组件，只是把生成的ClientRegistrationRepository Bean用你指定的id注册到容器中，完全不会破坏现有正常运行的OAuth2登录流程。

2. 实例化官方标准的登出成功处理器 #

直接通过构造器注入刚才定义的ClientRegistrationRepository，创建OidcClientInitiatedLogoutSuccessHandler实例，同时配置登出完成后的本地跳转地址：

<bean id="oidcClientLogoutHandler"
      class="org.springframework.security.oauth2.client.oidc.logout.OidcClientInitiatedLogoutSuccessHandler">
    <constructor-arg ref="oidcClientRepo"/>
    <!-- 自动识别当前应用根路径，不需要硬编码域名端口 -->
    <property name="postLogoutRedirectUri" value="{baseUrl}/login?logout"/>
</bean>

这个处理器会自动通过OIDC发现文档获取授权服务器的end-session-endpoint地址，不需要手动配置登出接口地址；如果你的授权服务器不支持OIDC自动发现，只需要在security:registration同级的security:provider节点中手动指定end-session-uri即可，处理器会自动读取。

3. 绑定登出配置，移除临时hack过滤器 #

找到现有安全配置中的security:logout节点，通过success-handler-ref属性绑定刚才创建的处理器，保留原有的本地会话清理逻辑即可：

<security:http auto-config="true">
    <!-- 原有其他安全配置全部保留 -->
    <security:logout
        logout-url="/logout"
        invalidate-session="true"
        delete-cookies="JSESSIONID"
        success-handler-ref="oidcClientLogoutHandler"/>
    <!-- 删除之前自定义的前置登出hack过滤器 -->
</security:http>

配置生效后的行为逻辑 #

1. 用户触发登出请求时，首先执行本地清理逻辑：使本地HttpSession失效、清除JSESSIONID cookie
2. 处理器自动从当前用户的认证信息中提取合法的ID Token
3. 重定向请求到授权服务器的end-session-endpoint，携带ID Token和登出后的跳转地址
4. 授权服务器收到请求后终止自身侧的用户会话，再跳转回本地配置的登出完成页面

避坑提醒：
千万不要为了拿到ClientRegistrationRepository手动new InMemoryClientRegistrationRepository替换security:client-registrations标签的自动配置——这种方式会丢失命名空间自动装配的OAuth2授权过滤器、token解码器、用户信息服务等配套组件，才会导致原有OAuth2登录流程失效。

内容的提问来源于stack exchange，提问作者Zed