Keycloak SAML登出返回成功响应但用户会话未销毁，导致免密自动登录问题

看起来你的问题出在SAML单点登出（Single Logout）的流程没有完整执行——虽然应用端收到了Keycloak的成功LogoutResponse，但Keycloak端的用户会话没被销毁，同时应用端的配置还存在冲突，导致会话同步出了问题。我来帮你一步步排查和解决：

1. 先修复Spring Security登出配置的冲突 #

你当前同时配置了saml2Logout和独立的logout().logoutSuccessHandler(...)，这两个配置的逻辑有重叠，很容易导致登出流程混乱。应该把自定义的登出成功处理器完全整合到saml2Logout配置里，移除单独的logout()块：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http,
        CustomLogoutSuccessHandler customLogoutSuccessHandler) throws Exception {
        
    http.cors(withDefaults())
        .csrf(csrf -> csrf.disable())
        .authorizeHttpRequests(...)
        .saml2Login(saml2Login -> {
            saml2Login.successHandler(...);
            saml2Login.failureHandler(...);
            saml2Login.authenticationManager(...);
            saml2Login.loginPage(<ApplicationURL>);
            saml2Login.loginProcessingUrl(...);
        })
        .saml2Logout(saml2Logout -> {
            saml2Logout.logoutUrl("/saml/logout"); // 用户触发登出的端点
            saml2Logout.logoutRequest().logoutUrl("/saml/SingleLogout"); // 接收Keycloak的LogoutRequest
            saml2Logout.logoutResponse().logoutUrl("/saml/SingleLogout"); // 接收Keycloak的LogoutResponse
            // 把自定义处理器绑定到SAML登出流程
            saml2Logout.logoutSuccessHandler(customLogoutSuccessHandler);
        });
        // 移除这里的单独logout()配置，避免冲突
        
        // ... 其他无关配置
    return http.build();
}

2. 确保自定义登出处理器销毁本地会话 #

你的CustomLogoutSuccessHandler目前只做了重定向，但没有显式销毁应用端的会话和Spring Security的安全上下文。这会导致应用端会话残留，再加上Keycloak端会话没销毁，就会出现自动登录的情况。修改处理器逻辑：

@Component
public class CustomLogoutSuccessHandler implements LogoutSuccessHandler {
    // 假设你已经注入了redirectionHandler和statusReturningHandler

    @Override
    public void onLogoutSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication)
            throws IOException, ServletException {
        // 1. 销毁应用端的HTTP会话
        if (request.getSession(false) != null) {
            request.getSession().invalidate();
        }
        // 2. 清除Spring Security的安全上下文
        SecurityContextHolder.clearContext();
        
        // 3. 执行原有重定向逻辑
        if(request.getRequestURL().toString().contains("/saml/SingleLogout")) {
            redirectionHandler.setDefaultTargetUrl("<ApplicationUrl>/home");
            redirectionHandler.onLogoutSuccess(request, response, authentication);
        } else {
            statusReturningHandler.onLogoutSuccess(request, response, authentication);
        }
    }
}

3. 验证是否触发了完整的SAML单点登出流程 #

你提到Keycloak端会话还在，说明应用可能没有主动向Keycloak发送LogoutRequest——当前流程可能只处理了Keycloak返回的LogoutResponse，但没有启动SP发起的单点登出（即应用告诉Keycloak“用户要登出，请销毁你的会话”）。

• 当用户访问/saml/logout时，Spring Security应该自动生成SAML LogoutRequest并跳转/发送到Keycloak。你可以打开浏览器的开发者工具，查看网络请求：登出时是否有向Keycloak的/protocol/saml端点发送请求？
• 如果没有这个请求，说明saml2Logout.logoutUrl("/saml/logout")的配置没有生效，需要检查是否有其他拦截器或路由规则阻止了这个请求。

4. 检查Keycloak客户端的单点登出配置 #

登录Keycloak管理控制台，找到你的SAML客户端，检查以下关键配置：

• Front Channel Logout：确保设置为On（在客户端的Settings标签页），这个配置会让Keycloak在收到LogoutRequest后，主动销毁自身的用户会话。
• Logout Service POST Binding URL：确认配置的是<ApplicationURL>/saml/SingleLogout，和应用端的配置完全一致。
• 如果你启用了Backchannel Logout，还要配置Backchannel Logout URL为同一个地址，并确保Backchannel Logout处于启用状态。

5. 开启Keycloak日志排查深层问题 #

如果以上步骤还没解决，开启Keycloak的调试日志，查看会话销毁的具体细节：

• 编辑Keycloak的配置文件（比如standalone.xml或keycloak.conf），添加或修改日志配置：

  <logger category="org.keycloak.events">
      <level name="DEBUG"/>
  </logger>
  <logger category="org.keycloak.protocol.saml">
      <level name="DEBUG"/>
  </logger>
  

• 重启Keycloak，执行登出流程后，查看日志：
  • 是否收到了应用发送的SAML LogoutRequest？
  • Keycloak处理LogoutRequest时有没有报错（比如签名验证失败、会话找不到等）？
  • 日志里是否出现“Session removed”之类的提示？

备注：内容来源于stack exchange，提问作者ashtrix-001