Keycloak在调用/logoutendpoint后未注销标识提供程序

Question

我正在尝试使用Keycloak(13.0.1)作为身份代理。我有一个iOS应用程序，它使用keycloak通过OIDC标识提供程序登录，然后使用令牌访问spring-boot后端。

我的问题是，我无法让keycloak注销也将用户从标识提供者会话中注销。

我花了几天时间在谷歌上搜索这个问题，并查看了stackoverflow和keycloak的讨论页面和git repo，但我找不到具体问题的答案。

以下是我的IDP配置：

还要注意，在keycloak admin guied中，指定了在触发注销时keycloak应该注销IDPs，因此我似乎不应该进行任何特殊配置：

https://www.keycloak.org/docs/latest/server_admin/#identity-broker-logout

Answer 1

它成功地将我重定向到标识提供程序登录页面

那个重定向是关键。它打开一个浏览器，在那里创建Keycloak cookie，这就是您的IdP会话。您必须在同一浏览器中打开Keycloak/logoutendpoint，这样Keycloak才能清除自己的Keycloak cookie。

摘要：您必须打开/重定向（API调用不起作用）用户到与您登录时使用的注销endpoint相同的浏览器（API调用不起作用）。当然，对于某些特殊的流可能不是这样，但它应该适用于标准授权代码（有/没有PKCE）。