KeycloakOIDCFilter登出问题：清除Keycloak会话后仍可访问受保护页面

你遇到的核心问题很明确：登出操作只清理了Keycloak服务器端的会话，但应用本地HttpSession里缓存的SerializableKeycloakAccount还未被清除，导致KeycloakOIDCFilter依然判定用户处于已认证状态。下面是几个针对性的解决步骤：

1. 登出时同步清理应用本地会话 #

手动拼接登出URL的场景下，必须先确保应用侧的会话数据被清理，再重定向到Keycloak的登出端点。可以在你的登出处理逻辑中添加会话清理代码：

// 获取当前会话（如果存在）
HttpSession session = request.getSession(false);
if (session != null) {
    // 精准移除Keycloak认证相关属性
    session.removeAttribute(KeycloakAccount.class.getName());
    // 若不需要保留其他会话数据，直接销毁整个会话更彻底
    // session.invalidate();
}

// 编码重定向URL，避免参数格式错误
String encodedRedirectUri = URLEncoder.encode("http://your-app-url/redirect-after-logout", StandardCharsets.UTF_8);
String logoutUrl = "http://auth-server/auth/realms/{realm-name}/protocol/openid-connect/logout?redirect_uri=" + encodedRedirectUri;

// 重定向到Keycloak登出页面
response.sendRedirect(logoutUrl);

注意：如果你的应用使用了分布式会话缓存（比如Redis），还要确保缓存中的对应KeycloakAccount数据也被移除，否则集群中的其他节点可能还会读取到旧的缓存数据。

2. 检查KeycloakOIDCFilter的会话配置 #

确认Filter的turnOffSessionCreation属性是否设置为false（默认值为false，但如果被手动修改过会影响功能）。这个属性控制Filter是否允许创建HttpSession，只有允许创建会话，移除会话属性的操作才能生效。

如果是通过web.xml配置Filter，检查对应的初始化参数：

<filter>
    <filter-name>KeycloakOIDCFilter</filter-name>
    <filter-class>org.keycloak.adapters.servlet.KeycloakOIDCFilter</filter-class>
    <init-param>
        <param-name>turnOffSessionCreation</param-name>
        <param-value>false</param-value>
    </init-param>
</filter>

3. 验证会话清理是否生效 #

可以在受保护页面的处理逻辑中添加调试代码，确认登出后会话中的KeycloakAccount已经被移除：

KeycloakAccount account = (KeycloakAccount) request.getSession().getAttribute(KeycloakAccount.class.getName());
if (account == null) {
    System.out.println("会话已清理，用户需要重新认证");
} else {
    System.out.println("会话中仍存在认证信息：" + account.getPrincipal().getName());
}

如果登出后account依然不为null，说明你的会话清理代码没有被正确执行，需要检查登出请求的路由是否正确，有没有被其他Filter拦截导致代码未执行。

4. 使用Keycloak Adapter的原生登出方式 #

推荐使用Keycloak Java Adapter提供的API来处理登出，它会自动同步清理应用会话和Keycloak服务器会话，避免手动处理的遗漏：

// 获取当前请求中的KeycloakSecurityContext
KeycloakSecurityContext securityContext = (KeycloakSecurityContext) request.getAttribute(KeycloakSecurityContext.class.getName());
if (securityContext != null) {
    // 调用Keycloak API登出服务器端会话
    securityContext.logout();
    // 清理应用本地会话
    HttpSession session = request.getSession(false);
    if (session != null) {
        session.invalidate();
    }
}

// 重定向到登出后的页面
response.sendRedirect("http://your-app-url/post-logout");

这种方式更贴合Keycloak的集成规范，减少手动处理出错的概率。

内容的提问来源于stack exchange，提问作者user884424