如何禁用 Spring Security 的登出跳转

1. 概述

本文将深入探讨 如何在 Spring Security 中禁用登出后的页面跳转行为。

我们会先简要回顾 Spring Security 的登出流程机制，然后通过一个实际示例，展示如何在用户成功登出后避免自动重定向。这在开发 RESTful API 时尤为常见——你希望登出接口返回一个干净的 HTTP 状态码，而不是把客户端重定向到登录页。

✅ 适用场景：前后端分离、API 接口服务、移动端对接
❌ 常见踩坑：前端收到 302 跳转，无法正确处理登出结果

2. Spring Security 中的登出机制

Spring Security 默认提供了开箱即用的登出支持，通过 logout() DSL 方法进行配置。默认情况下，当用户访问 /logout 接口时，系统会触发登出流程。

⚠️ 注意历史版本差异：在 Spring Security 4 之前，默认登出接口是 /j_spring_security_logout，之后统一改为 /logout。

默认行为是：登出成功后，用户会被重定向到 /login?logout 页面。虽然可以通过 .logoutSuccessUrl() 自定义跳转目标，但在很多场景下——尤其是面向 API 客户端时——我们根本不需要任何跳转。

因此，本文重点解决的问题是：
👉 如何让 /logout 接口在登出成功后不跳转，仅返回一个 200 OK 状态码。

3. 禁用 Spring Security 登出跳转

核心思路是：替换默认的登出成功处理器（LogoutSuccessHandler）。

Spring Security 提供了 LogoutSuccessHandler 接口，允许我们自定义登出成功后的逻辑。我们可以实现一个“什么都不跳转”的处理器，仅设置响应状态码为 200。

配置方式（推荐使用 Lambda）

以下是一个简洁的配置示例，使用 Lambda 表达式直接内联实现：

@Configuration
@EnableWebSecurity
public class SpringSecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.authorizeHttpRequests(authz -> authz.requestMatchers("/login")
            .permitAll()
            .anyRequest()
            .authenticated())
            .logout(logout -> logout.permitAll()
                .logoutSuccessHandler((request, response, authentication) -> {
                    response.setStatus(HttpServletResponse.SC_OK);
                }));
        return http.build();
    }
}

关键点解析

✅ logoutSuccessHandler()：注册自定义登出成功处理器
✅ Lambda 实现：直接设置响应状态码为 200，不写入任何内容，也不执行跳转
✅ permitAll()：确保未认证用户也能访问 /logout 接口（登出后用户已失效）

💡 扩展建议：如果你需要返回 JSON 响应（如 { "message": "logged out" }），也可以在这个处理器中写入响应体。

当然，你也可以创建一个独立的类实现 LogoutSuccessHandler 接口，然后注入使用。但在逻辑简单时，Lambda 更加简单粗暴且清晰。

4. 测试验证

接下来，我们通过单元测试验证配置是否生效。使用 MockMvc 模拟请求，检查登出接口的行为。

测试类结构

public class LogoutApplicationUnitTest {

    @Autowired
    private MockMvc mockMvc;

    // 测试方法
}

编写测试用例

@Test
public void whenLogout_thenDisableRedirect() throws Exception {

    this.mockMvc.perform(post("/logout").with(csrf()))
        .andExpect(status().isOk())
        .andExpect(jsonPath("$").doesNotExist())
        .andExpect(unauthenticated())
        .andReturn();
}

测试逻辑拆解

✅ post("/logout")：模拟向 /logout 发起 POST 请求（默认要求 POST）
✅ .with(csrf())：添加 CSRF 令牌（若启用了 CSRF，这是必须的）
✅ status().isOk()：期望返回 200 OK，而不是 302 Found
✅ jsonPath("$").doesNotExist()：验证响应体为空（符合无跳转、无内容的设计）
✅ unauthenticated()：验证当前用户已登出，处于未认证状态

⚠️ 踩坑提醒：如果忘记加 .with(csrf())，测试会因 CSRF 校验失败而报 403 禁止访问。

5. 总结

本文展示了如何在 Spring Security 中彻底禁用登出后的页面跳转，适用于前后端分离或纯 API 场景。

核心方案是：
👉 使用 logoutSuccessHandler 自定义登出成功逻辑，直接返回 200 状态码，避免重定向。

这种方式简洁、有效，且不破坏原有安全机制。对于 REST API 服务来说，是标准做法。

🔗 示例代码已托管至 GitHub：https://github.com/eugenp/tutorials/tree/master/spring-security-modules/spring-security-web-login-2

Persistence

REST

Security