通过Keycloak REST API注销用户无效

Question

我在从（移动）应用程序调用KeyCloak注销endpoint时遇到问题。

支持此方案,如其文档中所述：

/realms/{realm-name}/protocol/openid-connect/logout

注销endpoint注销经过身份验证的用户。

可以将用户代理重定向到endpoint，在这种情况下，活动用户会话将注销。然后，用户代理被重定向回应用程序。

endpoint也可以由应用程序直接调用。要直接调用此endpoint，需要包括刷新令牌以及对客户端进行身份验证所需的凭据。

我的请求有以下格式：

POST http://localhost:8080/auth/realms/<my_realm>/protocol/openid-connect/logout
Authorization: Bearer <access_token>
Content-Type: application/x-www-form-urlencoded

refresh_token=<refresh_token>

但总会出现此错误：

HTTP/1.1 400 Bad Request
Connection: keep-alive
X-Powered-By: Undertow/1
Server: WildFly/10
Content-Type: application/json
Content-Length: 123
Date: Wed, 11 Oct 2017 12:47:08 GMT

{
  "error": "unauthorized_client",
  "error_description": "UNKNOWN_CLIENT: Client was not identified by any client authenticator"
}

如果我提供了access_token，Keycloak似乎无法检测当前客户机的标识事件。我使用相同的access_token访问其他Keycloak的API，没有任何问题，比如userinfo（/auth/realms//protocol/openid-connect/userinfo）。

我的要求是基于这个钥匙斗篷的问题。这个问题的作者使它工作，但它不是我的情况。

我用的是钥匙斗篷3.2.1.最终版。

你也有同样问题吗？你知道怎么解决它吗？

Answer 1

最后，我通过查看keycloak的源代码找到了解决方案:https://github.com/keycloak/keycloak/blob/9cbc335b68718443704854b1e758f8335b06c242/services/src/main/Java/org/keycloak/protocol/oidc/endpoints/logoutendpoint.#L169。上面写着：

如果客户端是公共客户端，则必须包含一个“client_id”表单参数。

所以我缺少的是client_id表单参数。我的要求应该是：

POST http://localhost:8080/auth/realms/<my_realm>/protocol/openid-connect/logout
Authorization: Bearer <access_token>
Content-Type: application/x-www-form-urlencoded

client_id=<my_client_id>&refresh_token=<refresh_token>

应正确销毁会话。