使用Owin.Security.Keycloak时Keycloak登出功能异常的解决方法

问题背景 #

我正在将Keycloak集成至.NET Framework 4.7.2 MVC项目中，Startup类代码如下：

public class Startup
{
    const string persistentAuthType = "keycloak_auth";
    private string keycloakBaseUrl = ConfigurationManager.AppSettings["KeycloakBaseUrl"];
    private string keycloakRealm = ConfigurationManager.AppSettings["KeycloakRealm"];
    private string keycloakClient = ConfigurationManager.AppSettings["KeycloakClient"];
    public void Configuration(IAppBuilder app)
    {
        ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;

        app.UseCookieAuthentication(new CookieAuthenticationOptions
        {
            AuthenticationType = persistentAuthType
        });

        app.SetDefaultSignInAsAuthenticationType(persistentAuthType);

        app.UseKeycloakAuthentication(new KeycloakAuthenticationOptions
        {
            Realm = keycloakRealm,
            ClientId = keycloakClient,
            KeycloakUrl = keycloakBaseUrl,
            AuthenticationType = persistentAuthType,
            AllowUnsignedTokens = false,
            DisableIssuerSigningKeyValidation = true,
            DisableIssuerValidation = true,
            DisableAudienceValidation = true,
            DisableRefreshTokenSignatureValidation = true,
            TokenClockSkew = TimeSpan.FromSeconds(2)
        });

    }
}

针对登出操作，尝试了两种方案均存在问题：

方案一：仅通知Keycloak登出 #

[Authorize]
public ActionResult KeycloakLogout()
{
    var id_token = GetIDToken();
    string keycloakLogoutUrl = String.Format("{0}/realms/{1}/protocol/openid-connect/logout?id_token_hint={2}", keycloakBaseUrl, keycloakRealm, id_token);
    return Redirect(keycloakLogoutUrl);
}

问题：Keycloak页面显示已登出，但本地User.Identity.IsAuthenticated仍为true，因为MVC应用的认证Cookie未被清除。

方案二：仅清除本地认证状态 #

[Authorize]
public ActionResult KeycloakLogout()
{
 HttpContext.GetOwinContext().Authentication.SignOut("keycloak_auth");
return Redirect("homeurl");
}

问题：本地User.Identity.IsAuthenticated变为false，但Keycloak服务器端会话未销毁，且提示“Missing Parameters: id_token_hint”错误。

正确的登出实现 #

完整的登出需要同时完成本地认证状态清除和Keycloak服务器会话销毁两个步骤，具体实现代码如下：

[Authorize]
public ActionResult KeycloakLogout()
{
    var owinContext = HttpContext.GetOwinContext();
    var authenticationManager = owinContext.Authentication;
    
    // 从当前认证票据中获取id_token
    var idToken = authenticationManager.User.Claims.FirstOrDefault(c => c.Type == "id_token")?.Value;
    if (string.IsNullOrEmpty(idToken))
    {
        // 若无法获取id_token，可尝试从AuthenticationTicket中提取，或根据实际情况调整
        var authTicket = owinContext.Authentication.AuthenticationResponseGrant?.Identity;
        idToken = authTicket?.Claims.FirstOrDefault(c => c.Type == "id_token")?.Value;
    }

    // 清除本地MVC应用的认证Cookie
    authenticationManager.SignOut("keycloak_auth");

    // 构造Keycloak登出URL，包含id_token_hint和合法的post_logout_redirect_uri
    string postLogoutRedirect = Url.Action("Index", "Home", null, Request.Url.Scheme);
    string keycloakLogoutUrl = $"{keycloakBaseUrl}/realms/{keycloakRealm}/protocol/openid-connect/logout?" +
                               $"id_token_hint={Uri.EscapeDataString(idToken)}&" +
                               $"post_logout_redirect_uri={Uri.EscapeDataString(postLogoutRedirect)}";

    return Redirect(keycloakLogoutUrl);
}

关键注意事项 #

• URL编码：必须使用Uri.EscapeDataString对id_token和post_logout_redirect_uri进行编码，避免特殊字符导致参数解析失败
• Keycloak客户端配置：需在Keycloak控制台的对应客户端设置中，将post_logout_redirect_uri添加到「Valid Post Logout Redirect URIs」列表，否则Keycloak会拒绝跳转请求
• ID Token获取：若上述代码无法获取ID Token，可检查认证流程中是否正确保存了该票据，或根据使用的Keycloak OWIN中间件版本调整提取逻辑

内容的提问来源于stack exchange，提问作者Dumi