Question

根据官方示例（Secure Web Content），我必须使用表单和按钮，目的是使用Spring Security执行注销。有没有办法使用Thymeleaf的链接而不是按钮？

Answer 1

您必须使用表单进行注销。如果您真的想要一个链接，可以使用JavaScript让链接在隐藏表单上执行POST。

<a href="javascript: document.logoutForm.submit()" role="menuitem"> Logout</a>

   <form name="logoutForm" th:action="@{/logout}" method="post" th:hidden="true">
      <input hidden type="submit" value="Sign Out"/>
   </form>

Answer 2

我已成功使用<a th:href="@{/logout}">Logout</a>

我使用的相关Spring Security配置是

 http
            .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
            .logout()
            .logoutUrl("/logout")
            .logoutSuccessUrl("/login");

Answer 3

关于这个问题的上下文，我认为vdenotaris想要一个链接而不是注销功能的提交按钮。好吧，我认为你能做的就是创建一个这样的超链接：

<a href="#" th:href="@{/logout}">Log Out</a>

现在创建一个带有以下映射的控制器：

@RequestMapping(value="/logout", method = RequestMethod.GET)
public String logoutPage (HttpServletRequest request, HttpServletResponse response) {
    Authentication auth = SecurityContextHolder.getContext().getAuthentication();
    if (auth != null){    
        new SecurityContextLogoutHandler().logout(request, response, auth);
    }
    return "redirect:/login?logout";
}

Answer 4

解决方案（已弃用！）是：

       .logout()
            .logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
                .logoutSuccessUrl("/login");

如上所述，建议使用POST而不是GET请求来保证安全性。

Answer 5

这是正确的答案。

<form th:action="@{/logout}" method="post">
    <input type="submit">POST LOGOUT</input>
</form>

Answer 6

“为了帮助防止CSRF攻击，默认情况下，Spring Security Xml配置注销需要：

HTTP方法必须是POST
必须将CSRF令牌添加到请求。您可以使用该属性在ServletRequest上访问它 _csrf如上图所示。“

Hello Spring Security Xml Config

IActionResult

注销与Spring和Thymeleaf的链接

6 个答案: