Keycloak注销不适用于公开REST服务的“只承载”应用程序

Question

我无法注销用户。注销适用于“机密”应用程序，但不适用于“只承载”应用程序（注销后其余服务仍可访问）。

我有以下配置：

>

我在Keycloak中定义了一个“数据库”客户端应用程序，其访问类型为“只承载”（创建该应用程序的目的是公开受基于用户角色的Keycloak保护的REST web服务）

我在keycloak中定义了一个“rest_service”客户端应用程序，其访问类型为“机密”（创建该应用程序的目的是登录用户，并允许在成功登录后访问“只承载”REST服务）。下面描述的工作流是在这个应用程序中使用REST web服务实现的

我正在执行以下步骤：

>

在URL http://localhost:8180/auth/realms/demo/protocol/openid-connect/auth上执行http GET请求，该请求将用户重定向到由Keycloak处理的登录页面

用户使用他的凭据（使用在Keycloak中定义的用户凭据）执行登录

Keycloak将用户重定向到步骤1中传递的“redirect_uri”。在此步骤中，Keycloak还提供“state”和“code”值作为请求参数。

在用户被重定向回应用程序后，我将在步骤3中收到的“代码”交换为令牌，在http://localhost:8180/auth/realms/demo/protocol/openid-connect/token上执行POST请求，该请求已成功完成

访问令牌可用后，我继续访问“只承载”REST web服务。

注意：“只承载”服务公开的REST web服务是不可访问的，除非用户已经登录并为其分配了正确的“角色”。

如果我执行用户注销，那么仅承载应用程序公开的其余web服务仍然可以访问。在Keycloak服务器中，我得到以下警告消息：“demo Realm:REST_Service中的user adminuser没有注销一些客户机”

我尝试通过三种方式实现注销：

>

重定向到URL http://localhost:8180/auth/realms/demo/protocol/openid-connect/logout，传入redirect_uri和client_id参数

向http://localhost:8180/auth/realms/demo/protocol/openid-connect/logout发送一个POST请求，该请求传入头中的授权承载和client_id、refresh_token、client_secret和redirect_uri

由“只承载”服务公开的REST服务，它执行以下方法调用：HttpServletRequest request.logout（）

以上两种方法都不起作用。

附：我不想深入很多细节，因为即使这样，帖子也足够长了。如果我错过了什么，请告诉我，我会提供额外的信息（如果可能，我也可以附上实际的项目）

Answer 1

这是相当旧的，但它可以帮助其他人。我不太记得我做了什么来解决这个问题，但下面的细节可能会有所帮助。

为了使该令牌失效，使其不能再使用，您必须向以下endpoint执行POST请求：/auth/realms/{REALM}/users/{USER_UUID}/logout并在标头中添加访问令牌。

PS：如果有人尝试这样做，并对他有效，请添加一个评论，这样我就可以确定这是一个有效的解决方案，并帮助其他有这个问题的人。谢谢！