.NET Aspire集成Keycloak登出报错：Missing parameters: id_token_hint

针对你遇到的登出重定向失败问题，以下是几个关键的配置调整方向：

1. 自定义OpenIdConnect登出事件，手动附加id_token_hint #

即使设置了SaveTokens = true，ASP.NET Core有时不会自动将id_token传递给Keycloak的登出端点。需要在OpenIdConnect配置中添加登出事件处理，手动注入id_token_hint参数：

var oidcScheme = OpenIdConnectDefaults.AuthenticationScheme;
builder.Services.AddAuthentication(oidcScheme)
                .AddKeycloakOpenIdConnect("keycloak", realm: "WeatherShop", oidcScheme, options =>
                {
                    // 保留原有配置...
                    options.ClientId = "WeatherWeb";
                    options.ResponseType = OpenIdConnectResponseType.Code;
                    options.Scope.Add("weather:all");
                    options.RequireHttpsMetadata = false;
                    options.TokenValidationParameters.NameClaimType = JwtRegisteredClaimNames.Name;
                    options.SaveTokens = true;
                    options.SignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;

                    // 添加登出事件处理
                    options.Events.OnRedirectToIdentityProviderForSignOut = async context =>
                    {
                        // 从上下文获取保存的id_token
                        var idToken = await context.HttpContext.GetTokenAsync(OpenIdConnectParameterNames.IdToken);
                        if (!string.IsNullOrEmpty(idToken))
                        {
                            context.ProtocolMessage.IdTokenHint = idToken;
                        }
                        await Task.CompletedTask;
                    };
                })
                .AddCookie(CookieAuthenticationDefaults.AuthenticationScheme);

2. 确保Cookie认证正确存储令牌 #

如果Cookie认证未正确保存令牌，OpenIdConnect的SaveTokens设置将无法生效。可以通过Cookie的SigningIn事件强制存储id_token：

.AddCookie(CookieAuthenticationDefaults.AuthenticationScheme, options =>
{
    options.Events.OnSigningIn = async context =>
    {
        var idToken = context.Properties.GetTokenValue(OpenIdConnectParameterNames.IdToken);
        if (!string.IsNullOrEmpty(idToken))
        {
            context.Properties.StoreTokens(new[]
            {
                new AuthenticationToken 
                { 
                    Name = OpenIdConnectParameterNames.IdToken, 
                    Value = idToken 
                }
            });
        }
        await Task.CompletedTask;
    };
});

3. 验证Keycloak客户端的登出回调配置 #

确认Keycloak客户端的post.logout.redirect.uris与ASP.NET Core的回调端点完全一致，包括协议（HTTP/HTTPS）、端口和路径。当前你的配置中是https://localhost:7058/signout-callback-oidc，需确保：

• 应用实际运行的地址与该URI匹配
• 该URI已正确配置在Keycloak客户端的post.logout.redirect.uris属性中（你的配置已设置，但需检查拼写错误）

4. 显式添加OpenId Scope #

虽然默认情况下OpenIdConnect会包含openid scope，但显式声明可以避免潜在的配置遗漏：

options.Scope.Add("openid");
options.Scope.Add("weather:all");

完成以上调整后，重新启动应用并测试登出流程，Keycloak应该能正确接收id_token_hint参数，完成登出后正常重定向回SPA。

内容的提问来源于stack exchange，提问作者cmos