如何完全注销？春季安全

Question

我怎样才能完全退出？我的 xml 文件中有：

<security:logout logout-url="/logoutMe" />

当我输入 /logoutMe 网址时，我没有注销 - 在我的控制器上我添加了：

SecurityContextHolder.getContext().getAuthentication().getName()

并将名称添加到ModelAndView并显示在我的页面上，仍然有我的用户名，而不是像之前登录的anonymousUser。

如何完全退出？ 我还尝试使用以下方法创建自己的 LogoutSuccessHandler 实现：

SecurityContextHolder.clearContext();

但是..它似乎不起作用

Answer 1

这可能是 Spring 安全在注销时默认调用的方法（来自 SecurityContextLogoutHandler 类）：

public void logout(HttpServletRequest request, HttpServletResponse response, Authentication authentication) {
    Assert.notNull(request, "HttpServletRequest required");
    if (invalidateHttpSession) {
        HttpSession session = request.getSession(false);
        if (session != null) {
            logger.debug("Invalidating session: " + session.getId());
            session.invalidate();
        }
    }

    if(clearAuthentication) {
        SecurityContext context = SecurityContextHolder.getContext();
        context.setAuthentication(null);
    }

    SecurityContextHolder.clearContext();
}

您是否尝试过使用 spring security logout url /logout 提供的默认值？或者你必须自定义一些东西？