Skip to main content
タイトルを編集
リンク
nyako
  • 375
  • 8
  • 21

SpringBoot Oauth2でユーザクライアント認証したをする際、セッションタイムアウト時トークンsessionが破棄と同時に認証サーバー側のトークンをrevokeする方法について

本文に 511 文字追加
ソース リンク
nyako
  • 375
  • 8
  • 21

SpringSecurity初心者です。

Java 11
SpringBoot 2.3
OauthクライアントOauth2認証を実施しています
トークンの管理は特にDBでしたりしていません

Configクラスの設定で

    @Autowired
    CustomOidcUserService serv;
    @Autowired
    CustomLogoutHandler logoutHandler;
:
protected void configure(HttpSecurity http) throws Exception {     
    http.logoutauthorizeRequests()
        .anyRequest().logoutSuccessUrlauthenticated()
        .and().oauth2Login()
        .userInfoEndpoint()
        .oidcUserService(serv).and().defaultSuccessUrl("/menu", true).failureUrl("/login?error");

        http.permitAlllogout().clearAuthenticationlogoutSuccessUrl(true"/login").addLogoutHandlerpermitAll(logoutHandler)
              .deleteCookiesclearAuthentication("JSESSIONID"true).invalidateHttpSessionaddLogoutHandler(truelogoutHandler);
        http.permitAllexceptionHandling().accessDeniedPage("/");
}

と設定して、ログアウト時にLogoutHandlerを利用して認証サーバー側のトークンを破棄することはできたのですが、セッションタイムアウト時に認証サーバー側のトークン破棄したいのですができません。

セッションタイムアウトでセッションが破棄されているのは確認できたのですが、その後操作するとエラーとはならずセッションが生成され、新しいアクセストークンが作成されしまいます・・・

詳しく説明を記述したいのですが、なにぶん初心者のため知識が少なく書き込める情報もわかっていません・・・。
ご迷惑承知ですが、ご教授のほうよろしくおねがいします。

※補足※
https://terasolunaorg.github.io/guideline/5.3.0.RELEASE/ja/Security/OAuth.html#oauthclientserverhowtocanceltoken
を見ていますが、いまいち理解できないです。

SpringSecurity初心者です。

Java 11
SpringBoot 2.3
Oauth2認証を実施しています。

Configクラスの設定で

http.logout().logoutSuccessUrl("/login").permitAll().clearAuthentication(true).addLogoutHandler(logoutHandler)
            .deleteCookies("JSESSIONID").invalidateHttpSession(true).permitAll();

と設定して、ログアウト時にトークンを破棄することはできたのですが、セッションタイムアウト時にトークン破棄したいのですができません。

セッションタイムアウトでセッションが破棄されているのは確認できたのですが、その後操作するとエラーとはならずセッションが生成されてます・・・

詳しく説明を記述したいのですが、なにぶん初心者のため知識が少なく書き込める情報もわかっていません・・・。
ご迷惑承知ですが、ご教授のほうよろしくおねがいします。

※補足※
https://terasolunaorg.github.io/guideline/5.3.0.RELEASE/ja/Security/OAuth.html#oauthclientserverhowtocanceltoken
を見ていますが、いまいち理解できないです。

SpringSecurity初心者です。

Java 11
SpringBoot 2.3
クライアントOauth2認証を実施しています
トークンの管理は特にDBでしたりしていません

Configクラスの設定で

    @Autowired
    CustomOidcUserService serv;
    @Autowired
    CustomLogoutHandler logoutHandler;
:
protected void configure(HttpSecurity http) throws Exception {     
    http.authorizeRequests()
        .anyRequest().authenticated()
        .and().oauth2Login()
        .userInfoEndpoint()
        .oidcUserService(serv).and().defaultSuccessUrl("/menu", true).failureUrl("/login?error");

        http.logout().logoutSuccessUrl("/login").permitAll()
              .clearAuthentication(true).addLogoutHandler(logoutHandler);
        http.exceptionHandling().accessDeniedPage("/");
}

と設定して、ログアウト時にLogoutHandlerを利用して認証サーバー側のトークンを破棄することはできたのですが、セッションタイムアウト時に認証サーバー側のトークン破棄ができません。

セッションタイムアウトでセッションが破棄されているのは確認できたのですが、その後操作するとエラーとはならずセッションが生成され、新しいアクセストークンが作成されしまいます。

詳しく説明を記述したいのですが、なにぶん初心者のため知識が少なく書き込める情報もわかっていません・・・。
ご迷惑承知ですが、ご教授のほうよろしくおねがいします。

※補足※
https://terasolunaorg.github.io/guideline/5.3.0.RELEASE/ja/Security/OAuth.html#oauthclientserverhowtocanceltoken
を見ていますが、いまいち理解できないです。

本文に 145 文字追加
ソース リンク
nyako
  • 375
  • 8
  • 21

SpringSecurity初心者です。

Java 11
SpringBoot 2.3
でOauth2認証を実施しています。

Configクラスの設定で

http.logout().logoutSuccessUrl("/login").permitAll().clearAuthentication(true).addLogoutHandler(logoutHandler)
            .deleteCookies("JSESSIONID").invalidateHttpSession(true).permitAll();

と設定して、ログアウト時にトークンを破棄することはできたのですが、セッションタイムアウト時にトークンを破棄したいのですができません。

セッションタイムアウトでセッションが破棄されているのは確認できたのですが、その後操作するとエラーとはならずセッションが生成されています・・・。

詳しく説明を記述したいのですが、なにぶん初心者のため知識が少なく書き込める情報もわかっていません・・・。
ご迷惑承知ですが、ご教授のほうよろしくおねがいします。

※補足※
https://terasolunaorg.github.io/guideline/5.3.0.RELEASE/ja/Security/OAuth.html#oauthclientserverhowtocanceltoken
を見ていますが、いまいち理解できないです。

SpringSecurity初心者です。

Java 11
SpringBoot 2.3
でOauth2認証を実施しています。

Configクラスの設定で

http.logout().logoutSuccessUrl("/login").permitAll().clearAuthentication(true).addLogoutHandler(logoutHandler)
            .deleteCookies("JSESSIONID").invalidateHttpSession(true).permitAll();

と設定して、ログアウト時にトークンを破棄することはできたのですが、セッションタイムアウト時にトークンを破棄したいのですができません。

セッションタイムアウトでセッションが破棄されているのは確認できたのですが、その後操作するとエラーとはならずセッションが生成されています・・・。

詳しく説明を記述したいのですが、なにぶん初心者のため知識が少なく書き込める情報もわかっていません・・・。
ご迷惑承知ですが、ご教授のほうよろしくおねがいします。

SpringSecurity初心者です。

Java 11
SpringBoot 2.3
でOauth2認証を実施しています。

Configクラスの設定で

http.logout().logoutSuccessUrl("/login").permitAll().clearAuthentication(true).addLogoutHandler(logoutHandler)
            .deleteCookies("JSESSIONID").invalidateHttpSession(true).permitAll();

と設定して、ログアウト時にトークンを破棄することはできたのですが、セッションタイムアウト時にトークンを破棄したいのですができません。

セッションタイムアウトでセッションが破棄されているのは確認できたのですが、その後操作するとエラーとはならずセッションが生成されています・・・。

詳しく説明を記述したいのですが、なにぶん初心者のため知識が少なく書き込める情報もわかっていません・・・。
ご迷惑承知ですが、ご教授のほうよろしくおねがいします。

※補足※
https://terasolunaorg.github.io/guideline/5.3.0.RELEASE/ja/Security/OAuth.html#oauthclientserverhowtocanceltoken
を見ていますが、いまいち理解できないです。

編集済みの本文
ソース リンク
nyako
  • 375
  • 8
  • 21
読み込んでいます
ソース リンク
nyako
  • 375
  • 8
  • 21
読み込んでいます