与 Spring 和 Thymeleaf 的注销链接；发布错误

Question

以下问题：

我用 Spring 创建了一个简单的注销：

    <form th:action="@{/logout-custom}" method="POST" name="logoutForm" 
    id="logout">
        <input type="submit"/>
    </form>   

安全性：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/cont/**").access("hasRole('USER')")
            .and()

            .formLogin()
            .loginPage("/login")
            .defaultSuccessUrl("/login-success", true)
            .failureUrl("/failLogin.html")
            .permitAll()

            .and()
            .logout().logoutUrl("/logout").permitAll()

        .and()
        .csrf()
        .disable();
}    

控制器：

//Logout
@RequestMapping(value="/logout-custom", method = RequestMethod.POST)
public RedirectView logoutPage (HttpServletRequest request, 
HttpServletResponse response) {
    Authentication auth = 
SecurityContextHolder.getContext().getAuthentication();
    if (auth != null){
        new SecurityContextLogoutHandler().logout(request, response, auth);
    }
    return new RedirectView("/loginForm.html");
}   
// redirecting to login Page

依赖关系：

               <dependency>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-starter-actuator</artifactId>
            </dependency>

            <dependency>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-starter-web</artifactId>
            </dependency>

            <dependency>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-starter-security</artifactId>
            </dependency>


    <dependency>
        <groupId>org.apache.tomcat.embed</groupId>
        <artifactId>tomcat-embed-jasper</artifactId>
        <scope>provided</scope>
    </dependency>

    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-devtools</artifactId>
        <scope>runtime</scope>
    </dependency>

    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-test</artifactId>
        <scope>test</scope>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-test</artifactId>
    </dependency>
    <dependency>
        <groupId>junit</groupId>
        <artifactId>junit</artifactId>
    </dependency>

当我单击注销按钮时，它显示“不支持请求方法'POST'”错误。

使用方法 GET 它只是添加了一个“？”在我的网址后面签名没有显示错误也没有重定向。 我从我的 html 中删除了所有内容，除了表单，因为似乎有些脚本阻止了整个事情（这是后来的问题）。 我还尝试删除控制器并仅使用 logout().logoutUrl().logoutSuccessUrl() 但这也不起作用。

Answer 1

SecurityContextLogoutHandler是默认添加的，因此您无需为它实现自定义注销。

如果您想添加其他LogoutHandler，您可以在您的配置中进行：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/cont/**").access("hasRole('USER')")
            .and()

            .formLogin()
            .loginPage("/login")
            .defaultSuccessUrl("/login-success", true)
            .failureUrl("/failLogin.html")
            .permitAll()

            .and()
            .logout().logoutUrl("/logout-custom")
            .logoutSuccessUrl("/login")
            .addLogoutHandler(new CustomLogoutHandler())
            .permitAll()

        .and()
        .csrf()
        .disable();
}

logoutSuccessUrl("/login") 将在用户成功注销后将用户重定向到登录。

更新： 另外删除 th: 并使用纯 HTML 就可以了。

Answer 2

我已经有一段时间没有使用带有百里香的 spring 了，但我认为 RedirectView 必须指向一个 url。我自己试过你的例子，它确实没有用。然而，一些细微的变化使它起作用：

如果您的控制器中尚不存在用于登录的 url：

@GetMapping("/loginForm")
public String loginForm() {
    return "loginForm";
}

更改您的重定向视图：

return new RedirectView("/loginForm");

这是资源结构：

resources
  -> templates
    -> loginForm.html
    -> logout.html

Answer 3

为什么使用.logout().logoutUrl("/logout").permitAll()

同时使用@RequestMapping(value="/logout-custom", method = RequestMethod.POST)，应该是同一个URL

或者简单点

<form th:action="@{/logout}" method="post">
         <button type="submit">Sign Out</button>        
 </form>

并在安全配置使用。

   .logout().permitAll();

默认情况下已经存在注销功能。