Keycloak登出后kc-access、kc-access-1 Cookie未清除问题咨询

问题原因 #

kc-access和kc-access-1是Keycloak内置的**账户管理客户端（account client）**生成的会话Cookie，不属于OpenID Connect标准的会话凭证。当你直接调用OIDC的登出端点/auth/realms/account-1/protocol/openid-connect/logout时，Keycloak只会清理OIDC协议相关的会话Cookie，不会触发账户客户端的会话销毁逻辑，因此这两个Cookie会被留存。

解决方案 #

1. 优先调用账户客户端的登出端点 #

放弃直接跳转到OIDC登出页面，先请求账户客户端的专属登出接口，该接口会专门清理kc-access系列Cookie：

• Keycloak 16及以下版本：发起POST请求到 /auth/realms/account-1/account/logout
• Keycloak 17+（Quarkus版本）：路径去掉/auth，请求 /realms/account-1/account/logout

执行完这个请求后，再触发OIDC的全局登出（如果需要清理其他客户端的会话）。

2. 配置账户客户端的登出重定向 #

在Keycloak控制台中找到account客户端，进入登出设置：

• 添加你的应用地址到Valid Post Logout Redirect URIs列表
• 发起登出时使用账户客户端的登出链接并带上redirect_uri参数：

  GET /auth/realms/account-1/account/logout?redirect_uri=https://你的应用地址/登出回调页
  

  此方式会先销毁账户客户端的会话（清理目标Cookie），再跳回你的应用，后续可按需完成全局登出。

3. 适配Keycloak版本路径 #

如果使用Keycloak 17+，旧路径中的/auth已被移除，所有端点路径需更新为无/auth的格式，否则会导致部分会话清理逻辑失效。

4. 前端兜底清理Cookie #

若上述服务端方案无法生效，可在应用的登出回调页面通过前端JS手动清理目标Cookie，注意匹配Cookie的域名、路径和安全属性：

// Keycloak 16及以下版本
document.cookie = "kc-access=; expires=Thu, 01 Jan 1970 00:00:00 UTC; path=/auth/realms/account-1; domain=你的Keycloak域名; secure; SameSite=Strict";
document.cookie = "kc-access-1=; expires=Thu, 01 Jan 1970 00:00:00 UTC; path=/auth/realms/account-1; domain=你的Keycloak域名; secure; SameSite=Strict";

// Keycloak 17+版本修改路径
// document.cookie = "kc-access=; expires=Thu, 01 Jan 1970 00:00:00 UTC; path=/realms/account-1; domain=你的Keycloak域名; secure; SameSite=Strict";
// document.cookie = "kc-access-1=; expires=Thu, 01 Jan 1970 00:00:00 UTC; path=/realms/account-1; domain=你的Keycloak域名; secure; SameSite=Strict";

内容的提问来源于stack exchange，提问作者Forivin