Spring Security OAuth2用@FrameworkEndpoint登出遇401未授权问题求助

嘿，我来帮你捋清楚你遇到的这两个问题，以及对应的解决办法：

为什么注销请求会返回401？ #

核心原因是：Spring Security OAuth2的/oauth/token端点默认被客户端Basic认证保护。这个端点原本是用来获取、刷新token的，框架默认对这个路径的所有HTTP方法（包括你新增的DELETE）都要求客户端通过Basic auth（也就是Basic <clientId:clientSecret的base64编码>）来认证。所以哪怕你是要撤销token，框架的默认安全规则还是会先拦截你的请求，要求你提供客户端的Basic认证信息，这就是你收到401的根源。

你疑惑的“为什么登出还要再次认证”——其实框架不知道这个DELETE请求是用来注销的，它只认路径规则：只要是/oauth/token的请求，都得先过客户端Basic认证这一关，不管你带没带Bearer格式的access_token。

为什么Postman会自动替换Authorization头？ #

这是Postman的默认行为：如果你在请求的Authorization选项卡中选了Basic Auth并填了客户端ID和密钥，Postman会自动把Authorization头替换成Basic格式的字符串。如果你想发送Bearer格式的头，得这么做：

• 要么在Authorization选项卡中选择Bearer Token，然后填入你的access_token；
• 要么手动在Headers选项卡中添加Authorization头，值为Bearer <你的access_token>，同时把Authorization选项卡设置为No Auth。

解决方案 #

这里给你两个实用的方案，按需选择：

方案1：修改安全配置，允许Bearer token访问注销端点 #

你可以在Spring Security的配置类中，为/oauth/token的DELETE请求单独配置规则，允许携带有效access_token的请求访问，同时保留其他方法的客户端Basic认证要求。示例代码：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                // 对DELETE /oauth/token的请求，要求用户已认证（即携带有效Bearer token）
                .antMatchers(HttpMethod.DELETE, "/oauth/token").authenticated()
                // 其他请求按需配置
                .anyRequest().permitAll()
            .and()
            // 如果你的token是JWT类型，用这个配置
            .oauth2ResourceServer()
                .jwt();
            // 如果你用的是旧版Spring Security OAuth2（非Spring Security 5+的oauth2模块），可以用以下配置替代上面的oauth2ResourceServer部分
            // .addFilterBefore(new OAuth2AuthenticationProcessingFilter(), UsernamePasswordAuthenticationFilter.class);
    }
}

这样配置后，DELETE请求到/oauth/token时，框架会校验你携带的Bearer token是否有效，而不是强制要求客户端Basic认证。

方案2：更换注销端点的路径 #

避免和默认的/oauth/token端点冲突，比如把你的注销端点改成/api/logout，这样默认的安全规则不会拦截这个路径，你可以自己控制它的安全规则。修改后的控制器代码：

@FrameworkEndpoint
public class SecurityLogoutController {
    @Autowired
    private ConsumerTokenServices consumerTokenServices;

    @DeleteMapping("/api/logout")
    public ResponseEntity<Void> logout(WebRequest request) {
        String bearer = "bearer";
        String authorizationHeader = request.getHeader(HttpHeaders.AUTHORIZATION);
        log.info("authorization header: {} ", authorizationHeader);
        if (authorizationHeader != null && StringUtils.containsIgnoreCase(authorizationHeader, bearer)) {
            String accessTokenID = authorizationHeader.substring(bearer.length() + 1);
            log.info("access_token: {} ", accessTokenID);
            consumerTokenServices.revokeToken(accessTokenID);
        }
        // 返回204无内容状态码，符合REST规范
        return ResponseEntity.noContent().build();
    }
}

然后在安全配置中允许这个路径的请求携带Bearer token访问：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers(HttpMethod.DELETE, "/api/logout").authenticated()
            .anyRequest().permitAll()
        .and()
        .oauth2ResourceServer()
            .jwt();
}

额外注意点 #

调用consumerTokenServices.revokeToken()时，要确认你的token存储支持撤销操作：

• 如果用的是JWT token：JWT本身是无状态的，无法被主动撤销，你需要配合token黑名单（比如把已注销的token存入Redis，每次请求校验时检查黑名单）或者缩短token过期时间来实现注销效果；
• 如果用的是数据库/Redis存储的token：这个方法可以正常删除对应的token记录，实现注销。

内容的提问来源于stack exchange，提问作者akuma8