Keycloak登出功能实现求助：基于mod_auth_openidc的PHP应用

问题核心 #

你当前的问题在于只处理了Keycloak或本地会话的单一环节，没有同步清除mod_auth_openidc本地会话和Keycloak SSO会话，导致登出后仍能自动登录。

为什么之前的方法无效 #

• JS无法清除带HttpOnly标记的mod_auth_openidc Cookie，前端清Cookie代码完全无效
• 直接POST调用Keycloak logout端点仅撤销令牌，但Keycloak SSO会话和mod_auth_openidc本地会话仍存在
• 不带参数重定向到Keycloak登出页，Keycloak无法正确重定向回应用，且mod_auth_openidc本地会话未被清除

正确的登出流程 #

1. 引导用户到Keycloak登出端点，清除SSO全局会话
2. 登出完成后重定向回应用，由mod_auth_openidc自动清除本地会话Cookie

实现步骤 #

1. Keycloak客户端配置 #

登录Keycloak控制台，进入dev realm的mySuperclient客户端：

• 切换到Advanced标签
• 在Valid Post Logout Redirect URIs中添加你的应用回调地址：https://1.1.1.1/app/
• 保存配置

2. 改进PHP登出代码 #

替换你现有的登出PHP代码为以下内容：

<?php
$realm = "dev";
$keycloak_base_url = "https://1.1.1.1:8443";
$post_logout_redirect_uri = "https://1.1.1.1/app/";
$client_id = "mySuperclient";

// 从mod_auth_openidc的服务器变量中获取id_token
$id_token = $_SERVER['OIDC_ID_TOKEN'] ?? '';

// 构造Keycloak登出URL，必须携带id_token_hint、post_logout_redirect_uri、client_id参数
$logout_query = http_build_query([
    'id_token_hint' => $id_token,
    'post_logout_redirect_uri' => $post_logout_redirect_uri,
    'client_id' => $client_id
]);
$keycloak_logout_url = "$keycloak_base_url/realms/$realm/protocol/openid-connect/logout?$logout_query";

// 重定向到Keycloak登出端点，完成SSO会话清除后会自动回到应用
header("Location: $keycloak_logout_url");
exit;
?>

3. 验证mod_auth_openidc配置 #

确保Apache的mod_auth_openidc配置中已正确设置：

OIDCProviderLogoutURL https://1.1.1.1:8443/realms/dev/protocol/openid-connect/logout
OIDCRedirectURI https://1.1.1.1/app/redirect_uri.php

关键说明 #

• id_token_hint：Keycloak需要这个参数识别当前用户的SSO会话，避免手动确认登出的步骤
• post_logout_redirect_uri：必须在Keycloak客户端的Valid列表中，否则Keycloak会拒绝重定向
• 重定向到Keycloak登出端点后，mod_auth_openidc会在用户返回应用时自动检测到SSO会话已失效，从而清除本地会话Cookie

内容的提问来源于stack exchange，提问作者folded_bamboo