web-dev-qa-db-ja.com

Springでoauth2クライアントをログアウトする方法は？

最も簡単なoauth2クライアントがあります。

@EnableAutoConfiguration
@Configuration
@EnableOAuth2Sso
@RestController
public class ClientApplication {

    @RequestMapping("/")
    public String home(Principal user, HttpServletRequest request, HttpServletResponse response) throws ServletException {       
        return "Hello " + user.getName();
    }

    public static void main(String[] args) {
        new SpringApplicationBuilder(ClientApplication.class)
                .properties("spring.config.name=application").run(args);
    }

}

次のapplication.ymlもあります：

server:
  port: 9999
  servlet:
    context-path: /client
security:
  oauth2:
    client:
      client-id: acme
      client-secret: acmesecret
      access-token-uri: http://localhost:8080/oauth/token
      user-authorization-uri: http://localhost:8080/oauth/authorize
    resource:
      user-info-uri: http://localhost:8080/me

logging:
  level:
    org.springframework.security: DEBUG
    org.springframework.web: DEBUG

完全なコードです。追加のソースコードはありません。正常に動作します。

しかし今、ログアウト機能を追加したいと思います。エンドポイントを追加しましたが、機能しません。私は次のことをしようとしました：

@RequestMapping("/logout")
    public void logout(HttpServletRequest request, HttpServletResponse response) throws ServletException {
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        authentication.setAuthenticated(false);
        new SecurityContextLogoutHandler().logout(request,response,authentication);
        SecurityContextHolder.clearContext();
        request.logout();
        request.getSession().invalidate();
    }

しかし、私はまだログインしており、/ urlにアクセスでき、ユーザー名で応答します。

この問題の修正を手伝ってもらえますか？

更新

ここで説明されているアプローチを試しました https://spring.io/guides/tutorials/spring-boot-oauth2/#_social_login_logout ：

@EnableAutoConfiguration
@Configuration
@EnableOAuth2Sso
@Controller
public class ClientApplication extends WebSecurityConfigurerAdapter {
    private Logger logger = LoggerFactory.getLogger(ClientApplication.class);

    @RequestMapping("/hello")
    public String home(Principal user, HttpServletRequest request, HttpServletResponse response, Model model) throws ServletException {
        model.addAttribute("name", user.getName());
        return "hello";
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // @formatter:off
        http.antMatcher("/**")
                .authorizeRequests()
                .antMatchers( "/login**", "/webjars/**", "/error**").permitAll()
                .anyRequest()
                .authenticated()
                .and().logout().logoutSuccessUrl("/").permitAll()
                .and()
                    .csrf()
                    .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());
        // @formatter:on
    }

    public static void main(String[] args) {
        new SpringApplicationBuilder(ClientApplication.class)
                .properties("spring.config.name=application").run(args);
    }
}

そしてFEで私は書いた：

<script type="text/javascript">
        $.ajaxSetup({
            beforeSend: function (xhr, settings) {
                if (settings.type == 'POST' || settings.type == 'PUT'
                    || settings.type == 'DELETE') {
                    if (!(/^http:.*/.test(settings.url) || /^https:.*/
                            .test(settings.url))) {
                        // Only send the token to relative URLs i.e. locally.
                        xhr.setRequestHeader("X-XSRF-TOKEN",
                            Cookies.get('XSRF-TOKEN'));
                    }
                }
            }
        });
        var logout = function () {
            $.post("/client/logout", function () {
                $("#user").html('');
                $(".unauthenticated").show();
                $(".authenticated").hide();
            });
            return true;
        };
        $(function() {
            $("#logoutButton").on("click", function () {
                logout();
            });
        });

    </script>

そして

<input type="button" id="logoutButton" value="Logout"/>

しかし、まだ機能しません。次の動作が発生します。

投稿http://localhost:9999/client/logoutはhttp://localhost:9999/clientにリダイレクトしますが、このページは存在しません

gitubのソースコード：
client- https://github.com/gredwhite/logour_social-auth-client （localhost:9999/client/hello urlを使用）
サーバー- https://github.com/gredwhite/logout_social-auth-server

javaspring-securityoauth-2.0spring-security-oauth2spring-oauth2
14
gstackoverflow

ClientApplicationクラスに次のコードスニペットを追加します。これにより、セッションの詳細もクリアされます。

以下のコードをWebセキュリティアダプタークラスのconfigureメソッドに置き換えます。

@Override
    protected void configure(HttpSecurity http) throws Exception {
        http.antMatcher("/**")
                .authorizeRequests()
                .antMatchers( "/login**", "/webjars/**", "/error**").permitAll()
                .anyRequest()
                .authenticated()
                .and().logout().invalidateHttpSession(true)
                .clearAuthentication(true).logoutSuccessUrl("/login?logout").deleteCookies("JSESSIONID").permitAll().and().csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());
    }
2
Dharita Chokshi

おそらく、正しいこと（セッションをクリアしてCookieを無効にする）を行う/ logoutエンドポイントのSpring Security組み込みサポートを使用する必要があります。エンドポイントを構成するには、WebSecurityConfigurerの既存のconfigure（）メソッドを拡張します。

@Override
protected void configure(HttpSecurity http) throws Exception {
  http.antMatcher("/**")
     .and().logout().logoutSuccessUrl("/").permitAll();
}
2
Eby Jacob

セキュリティ構成にログアウトURLを追加してみてください。

    .logout()
        .logoutUrl("/logout")
        .logoutSuccessUrl("/")
        .permitAll();
0
Rafał Sokalski

PostをGetに変更できます http：// localhost：9999/client/logout

わたしにはできる

0
Evan Gu