配置Cognito为Keycloak外部IDP时登出会话未失效问题求助

你的推测是对的——Cognito的登出端点确实不完全遵循OAuth 2.0标准的RP-Initiated Logout规范，这正是导致跨IDP会话无法彻底清除的核心原因。

具体问题点 #

• OAuth 2.0标准要求，当依赖方（RP，即这里的Keycloak）调用身份提供商（IDP，即Cognito）的登出端点时，IDP不仅要清除自身的用户会话，还需通过前端通知或后端回调的方式，告知所有关联的RP清除对应会话。但Cognito的登出机制不支持这种跨RP的会话同步通知。
• 你尝试的两种Cognito登出方法都存在局限性：
  • 直接调用/logout端点：仅能清除Cognito自身的用户会话，但不会主动触发Keycloak的会话注销。如果未正确传递id_token_hint参数，或者Cognito应用客户端配置的logout_uri与Keycloak的登出回调不匹配，Keycloak端的会话会因为未收到有效注销信号而残留。
  • 使用globalSignOut API：该API会使用户所有设备上的Cognito会话失效，但同样不会向Keycloak发送注销通知，Keycloak本地会话仍会保持活跃状态。

可行的解决步骤 #

• 配置正确的登出参数：在Keycloak的Cognito IDP配置中，确保登出URL包含id_token_hint参数（Keycloak可在登出流程中自动传递该参数），同时验证Cognito应用客户端的允许回调URL列表已添加Keycloak的登出回调地址。
• 强制清除Keycloak本地会话：在Keycloak的登出流程中，添加自定义动作或脚本，在调用Cognito登出端点后，强制清除Keycloak的本地用户会话。
• 验证会话同步逻辑：检查Keycloak的会话设置，确保开启了“登出时通知身份提供商”的选项，同时确认Cognito端的会话超时配置与Keycloak保持一致。

内容的提问来源于stack exchange，提问作者Vitor Conti