春天的安全。如何注销用户（撤销 oauth2 令牌）

Question

当我想注销时，我调用这段代码：

 request.getSession().invalidate();
SecurityContextHolder.getContext().setAuthentication(null);

但在它之后（在下一个使用旧 oauth 令牌的请求中）我调用

SecurityContextHolder.getContext().getAuthentication();

我在那里看到了我的老用户。

如何解决？

原文由 gstackoverflow 发布，翻译遵循 CC BY-SA 4.0 许可协议

Answer 1

这是我的实现（Spring OAuth2）：

 @Controller
public class OAuthController {
    @Autowired
    private TokenStore tokenStore;

    @RequestMapping(value = "/oauth/revoke-token", method = RequestMethod.GET)
    @ResponseStatus(HttpStatus.OK)
    public void logout(HttpServletRequest request) {
        String authHeader = request.getHeader("Authorization");
        if (authHeader != null) {
            String tokenValue = authHeader.replace("Bearer", "").trim();
            OAuth2AccessToken accessToken = tokenStore.readAccessToken(tokenValue);
            tokenStore.removeAccessToken(accessToken);
        }
    }
}

用于检测：

 curl -X GET -H "Authorization: Bearer $TOKEN" http://localhost:8080/backend/oauth/revoke-token

原文由 camposer 发布，翻译遵循 CC BY-SA 3.0 许可协议