在 Spring Boot 中实现“注销”功能

Question

为了让基本的安全功能正常工作，我在我的 pom.xml 中添加了以下启动包

    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>

并在 application.properties 中添加了以下两个属性：

security.user.name=guest
security.user.password=tiger

现在，当我点击主页时，我得到了登录框，并且登录按预期工作。

现在我想实现“注销”功能。当用户单击链接时，他/她将被注销。我注意到登录并没有在我的浏览器中添加任何 cookie。我假设 Spring Security 为用户创建了一个 HttpSession 对象。真的吗？我是否需要使该会话“无效”并将用户重定向到其他页面？在基于 Spring Boot 的应用程序中实现“注销”功能的最佳方式是什么？

Answer 1

迟到总比没有好。 Spring Boot 为您默认了许多安全组件，包括 CSRF 保护。其中一件事是强制 POST 注销，请参见此处：http://docs.spring.io/spring-security/site/docs/3.2.4.RELEASE/reference/htmlsingle/#csrf-logout

正如这表明你可以覆盖它，使用类似的东西：

http.authorizeRequests()
.antMatchers("/admin/**").hasRole("ADMIN")                                      
.anyRequest().fullyAuthenticated()
.and()
.formLogin().loginPage("/login").failureUrl("/login?error").permitAll()
.and()
.logout().logoutRequestMatcher(new AntPathRequestMatcher("/logout")).logoutSuccessUrl("/login");

最后一行很重要。