1概要
このクイックチュートリアルでは、OAuth Spring Securityアプリケーションにログアウト機能を追加する方法を説明します。
もちろん、以前の記事link/rest-api-spring-oauth2-angularjs[OAuth2を使用したREST APIの作成]で説明したOAuthアプリケーションを使用します。
2アクセストークンを削除する
簡単に言うと、OAuthで保護された環境でログアウトするには、ユーザーのアクセストークンを無効にする必要があります。
__JdbcTokenStoreベースの実装では、これは TokenStore__からトークンを削除することを意味します。
トークンの削除操作を実装しましょう。ここでは、プライマリの__/oauth/token URL構造を使用し、それに新しいDELETE操作を導入します。
さて、ここでは /oauth/token URIを実際に使用しているので、慎重に処理する必要があります。 POSTとGETを使用すると、フレームワークにはすでにそのURIにマッピングされた操作があるため、これを任意のコントローラに単純に追加することはできません。
その代わりに、標準の RequestMappingHandlerMapping ではなく FrameworkEndpointHandlerMapping によって取得され解決されるように、これを @ FrameworkEndpoint – と定義することで代わりに行う必要があります。そのようにして、我々はどんな部分的なマッチにも遭遇することがなく、そしていかなる衝突も起こさない。
@FrameworkEndpoint
public class RevokeTokenEndpoint {
@Resource(name = "tokenServices")
ConsumerTokenServices tokenServices;
@RequestMapping(method = RequestMethod.DELETE, value = "/oauth/token")
@ResponseBody
public void revokeToken(HttpServletRequest request) {
String authorization = request.getHeader("Authorization");
if (authorization != null && authorization.contains("Bearer")){
String tokenId = authorization.substring("Bearer".length()+1);
tokenServices.revokeToken(tokenId);
}
}
}
単純に標準の Authorization ヘッダーを使用して、リクエストからトークンを抽出する方法に注目してください。
3更新トークンを削除する
/spring-security-oauth2-refresh-token-angular-js[リフレッシュトークンの処理]では、リフレッシュトークンを使用してアクセストークンをリフレッシュできるようにアプリケーションを設定しました。この実装はZuulプロキシを利用します。CustomPostZuulFilter と共に認可サーバーから受け取った refresh token 値を refreshToken クッキーに追加します。
前のセクションで示したように、アクセストークンを無効にすると、それに関連付けられている更新トークンも無効になります。ただし、JavaScriptを使用してCookieを削除することはできないため、 httpOnly Cookieはクライアントに設定されたままになるため、サーバー側から削除する必要があります。
/oauth/token/revoke URLをインターセプトする CustomPostZuulFilter 実装を拡張して、このURLに遭遇したときに refreshToken cookieが削除されるようにします。
@Component
public class CustomPostZuulFilter extends ZuulFilter {
//...
@Override
public Object run() {
//...
String requestMethod = ctx.getRequest().getMethod();
if (requestURI.contains("oauth/token") && requestMethod.equals("DELETE")) {
Cookie cookie = new Cookie("refreshToken", "");
cookie.setMaxAge(0);
cookie.setPath(ctx.getRequest().getContextPath() + "/oauth/token");
ctx.getResponse().addCookie(cookie);
}
//...
}
}
4 AngularJSクライアントからアクセストークンを削除する
トークンストアからアクセストークンを取り消すことに加えて、 access token__ cookieもクライアント側から削除する必要があります。
AngularJS コントローラーに access token cookieをクリアし、 /oauth/token/revoke__DELETEマッピングを呼び出すメソッドを追加しましょう。
$scope.logout = function() {
logout($scope.loginData);
}
function logout(params) {
var req = {
method: 'DELETE',
url: "oauth/token"
}
$http(req).then(
function(data){
$cookies.remove("access__token");
window.location.href="login";
},function(){
console.log("error");
}
);
}
この関数は Logout リンクをクリックすると呼び出されます。
<a class="btn btn-info" href="#" ng-click="logout()">Logout</a>
5結論
この迅速で詳細なチュートリアルでは、 AAuth セキュリティで保護されたアプリケーションからユーザーをログアウトし、そのユーザーのトークンを無効にする方法を説明しました。
例の完全なソースコードはhttps://github.com/Baeldung/spring-security-oauth[over on GitHub]にあります。