Spring Security中自定义登出成功处理器不生效问题求助

看起来你遇到的问题是自定义登出成功处理器被默认配置覆盖了，我来帮你分析下原因和解决方案：

问题根源 #

在你的配置中，你同时通过apply(login())配置了自定义安全组件（包含自定义登出处理器），又调用了logoutSuccessUrl("https://www.google.com")。Spring Security的logoutSuccessUrl()方法会自动创建一个SimpleUrlLogoutSuccessHandler实例，并将它设置为当前的登出成功处理器——这会直接覆盖你之前通过自定义组件注册的处理器，导致你的自定义逻辑无法执行。

解决方案 #

你有两种选择来修复这个问题：

方案1：移除logoutSuccessUrl，在自定义处理器中实现跳转 #

如果你的自定义登出处理器需要同时处理业务逻辑和跳转，直接在处理器中实现跳转逻辑即可，不需要再调用logoutSuccessUrl：

@EnableWebSecurity
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .apply(login()) // 这里的自定义组件包含登出成功处理器逻辑
            .and()
            .logout() // 不再配置logoutSuccessUrl
            .and()
            .authorizeRequests()
            .antMatchers("/api/**")
            .hasRole("API_USER");
    }

    // 示例：自定义配置中包含登出处理器
    private CustomLoginConfigurer login() {
        return new CustomLoginConfigurer()
                .logoutSuccessHandler((request, response, authentication) -> {
                    // 先执行你的自定义业务逻辑
                    // ...比如清理用户缓存、记录登出日志等

                    // 再执行跳转逻辑
                    response.sendRedirect("https://www.google.com");
                });
    }
}

方案2：显式指定自定义处理器（替代logoutSuccessUrl） #

如果你更倾向于分开配置，也可以直接在logout()中显式设置自定义处理器，而不是依赖apply()中的配置：

@EnableWebSecurity
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    // 注入你的自定义登出处理器
    @Autowired
    private LogoutSuccessHandler customLogoutSuccessHandler;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .apply(login())
            .and()
            .logout()
            .logoutSuccessHandler(customLogoutSuccessHandler) // 显式指定自定义处理器
            .and()
            .authorizeRequests()
            .antMatchers("/api/**")
            .hasRole("API_USER");
    }
}

额外检查点 #

• 确保你的自定义登出处理器已经正确实现LogoutSuccessHandler接口，并且逻辑没有错误
• 检查配置顺序：Spring Security的配置是顺序敏感的，后续的配置会覆盖前面的，所以确保自定义处理器的配置在logout()相关配置之后（或者避免重复配置）

内容的提问来源于stack exchange，提问作者Will Huang