Keycloak SSO多服务登出失败问题求助

1. 校验登出请求参数有效性 #

• 确认ServerRequest.invokeLogout调用时传递的refresh_token状态：Keycloak登出接口要求传入有效未过期的refresh token，若token已失效、被篡改或与用户当前会话不匹配，会直接返回400。建议在日志中打印请求的完整参数，对比成功/失败场景的token值，同时在Keycloak后台用户会话页面核查对应token的状态。
• 检查请求的client_id准确性：每个服务对应Keycloak的独立客户端，登出请求时传入的client_id必须与服务配置的一致，不匹配会触发400错误。

2. 检查Keycloak客户端登出配置 #

• 开启Backchannel Logout：在Keycloak控制台对应客户端的设置中，勾选Backchannel Logout Enabled，并配置Backchannel Logout URL为服务的登出回调地址（如/logout）。Spring Boot侧需确保spring.security.oauth2.client.provider.keycloak.logout-uri指向Keycloak的登出接口。
• 验证客户端权限配置：若客户端Access Type设为confidential，需确认服务端已正确配置client-secret（Spring Boot中通过spring.security.oauth2.client.registration.keycloak.client-secret配置），登出请求需携带该密钥，缺失会导致400。

3. 排查Redis会话共享一致性 #

• 统一Redis会话配置：确保三个服务的Redis连接参数（地址、密码、数据库索引）完全一致，且均配置spring.session.store-type=redis。会话数据存储不一致会导致登出时传递的token无法匹配有效会话。
• 核查Redis会话数据：使用redis-cli执行KEYS "spring:session:*"查看会话键，对比service1登出前后，service2、service3的会话数据是否被正确标记为失效。

4. 验证网络与跨域配置 #

• 确认容器网络连通性：进入Keycloak Docker容器，执行curl命令测试service2、service3登出回调地址的可达性，排除网络不通导致的请求异常。
• 配置Web Origins：在Keycloak客户端的Web Origins列表中添加三个服务的域名/IP，避免跨域拦截请求参数引发400错误。

5. 代码层面登出逻辑校验 #

• 检查Spring Boot登出实现：确保登出时同时清理本地会话并调用Keycloak全局登出接口，示例代码如下：

@GetMapping("/logout")
public String logout(HttpServletRequest request, HttpServletResponse response) throws ServletException {
    OAuth2AuthenticationToken authToken = (OAuth2AuthenticationToken) SecurityContextHolder.getContext().getAuthentication();
    OAuth2AuthorizedClient authorizedClient = authorizedClientService.loadAuthorizedClient(
            authToken.getAuthorizedClientRegistrationId(),
            authToken.getName());
    
    String logoutUri = authorizedClient.getClientRegistration().getProviderDetails().getLogoutUri()
            + "?client_id=" + authorizedClient.getClientRegistration().getClientId()
            + "&refresh_token=" + authorizedClient.getRefreshToken().getTokenValue();
    
    request.logout();
    return "redirect:" + logoutUri;
}

• 避免仅清理本地会话而未触发Keycloak全局登出，导致其他服务会话残留引发异常。

内容的提问来源于stack exchange，提问作者pogo