Apache Superset未随Keycloak登出同步注销的问题解决咨询

要解决Keycloak登出时Superset未同步清除认证状态的问题，核心是配置**单点登出（SSO Logout）**机制，通过双方的配置联动实现会话同步清除，具体步骤如下：

一、配置Superset的OAuth2登出参数 #

修改Superset的核心配置文件superset_config.py，添加或调整以下配置项：

# 登出后跳转至Keycloak的结束会话端点，完成Keycloak会话清除
LOGOUT_REDIRECT_URL = "https://<你的Keycloak域名>/realms/<你的Realm名称>/protocol/openid-connect/logout?redirect_uri=https://<你的Superset域名>/login/"

# 指定Keycloak的登出API端点，触发Superset登出时同步调用
OAUTH_LOGOUT_ENDPOINT = "https://<你的Keycloak域名>/realms/<你的Realm名称>/protocol/openid-connect/logout"

其中redirect_uri需设置为Superset的登录页面地址，确保用户登出后可重新发起认证。

二、配置Keycloak的前端通道登出 #

在Keycloak控制台中针对Superset客户端进行配置，实现Keycloak全局登出时通知Superset清除会话：

• 进入Clients菜单，选择对应Superset的客户端
• 在Settings标签下，确认Valid Redirect URIs包含Superset的全量路径（如https://<你的Superset-domain>/*）
• 切换到Advanced标签，展开Fine Grain OpenID Connect Configuration
• 开启Front Channel Logout选项，设置Front Channel Logout URI为Superset的登出端点：https://<你的Superset域名>/logout/
• 保存配置

三、验证同步效果 #

• 从Superset登出：会自动跳转至Keycloak的登出页面，清除Keycloak端的全局会话，同时Superset本地会话也会被清除
• 从Keycloak全局登出：Keycloak会向Superset的登出端点发送请求，强制清除Superset的用户会话，刷新Superset页面会自动跳转至登录页

常见问题排查 #

• 跨域场景下需确保Superset和Keycloak的CORS配置正确，或者将两者部署在同一域下
• 调整Superset的会话Cookie属性，避免跨域时会话无法清除：

SESSION_COOKIE_SAMESITE = "Lax"
# 若完全跨域，可设置为None并开启HTTPS
# SESSION_COOKIE_SAMESITE = "None"
# SESSION_COOKIE_SECURE = True

• 确认Keycloak客户端的Access Type设置为confidential，且Superset配置中已正确填写OAUTH_CLIENT_SECRET

内容的提问来源于stack exchange，提问作者jerdys