SpringSecurity初心者です。
Java 11
SpringBoot 2.3
でクライアントOauth2認証を実施しています。
トークンの管理は特にDBでしたりしていません。
Configクラスの設定で
@Autowired
CustomOidcUserService serv;
@Autowired
CustomLogoutHandler logoutHandler;
:
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
.anyRequest().authenticated()
.and().oauth2Login()
.userInfoEndpoint()
.oidcUserService(serv).and().defaultSuccessUrl("/menu", true).failureUrl("/login?error");
http.logout().logoutSuccessUrl("/login").permitAll()
.clearAuthentication(true).addLogoutHandler(logoutHandler);
http.exceptionHandling().accessDeniedPage("/");
}
と設定して、ログアウト時にLogoutHandlerを利用して認証サーバー側のトークンを破棄することはできたのですが、セッションタイムアウト時に認証サーバー側のトークン破棄ができません。
セッションタイムアウトでセッションが破棄されているのは確認できたのですが、その後操作するとエラーとはならずセッションが生成され、新しいアクセストークンが作成されてしまいます。
詳しく説明を記述したいのですが、なにぶん初心者のため知識が少なく書き込める情報もわかっていません・・・。
ご迷惑承知ですが、ご教授のほうよろしくおねがいします。
※補足※
https://terasolunaorg.github.io/guideline/5.3.0.RELEASE/ja/Security/OAuth.html#oauthclientserverhowtocanceltoken
を見ていますが、いまいち理解できないです。