java - Spring Web Security 注销不适用于 httpBasic 身份验证

Question

我正在使用基本身份验证来保护我正在处理的初始 REST Web 服务。一切似乎 工作正常，除了注销路径似乎不起作用。它重定向到“/login?logout”，如记录的那样，但我的用户似乎并没有真正注销。 (即，我仍然可以访问页面 X 而不是预期的页面 Y)。

应用配置:

@Configuration
@ComponentScan
@EnableAutoConfiguration(exclude = ManagementSecurityAutoConfiguration.class)
@EnableWebSecurity
@EnableSwagger
public class Application {

    public static void main(String[] args) {
        SpringApplication.run(Application.class, args);
    }

    @Order(SecurityProperties.ACCESS_OVERRIDE_ORDER)
    @Configuration
    protected static class ApplicationSecurity extends WebSecurityConfigurerAdapter {
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.httpBasic()
            .and().authorizeRequests().antMatchers("/manage/**").hasRole("ADMIN")
            .anyRequest().fullyAuthenticated()
            .and().logout().permitAll().logoutRequestMatcher(new AntPathRequestMatcher("/logout", HttpMethod.GET.toString())).invalidateHttpSession(true);
        }

        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {
            auth.inMemoryAuthentication().withUser("admin").password("admin").roles("ADMIN", "USER").and().withUser("user").password("user").roles("USER");
        }
    }
}

请注意，安全性总体上看起来是有效的。我可以打开一个新的隐身选项卡，身份验证/安全性按预期工作。

Answer 1

您不能使用注销链接从基本的 http 身份验证中注销。

请检查类似的线程 here .