作为身份代理的Keycloak后台注销URL如何获取？

核心端点：管理API会话注销接口 #

你要找的后台注销URL不是前端交互用的end_session_endpoint，而是Keycloak管理API提供的用户注销接口，格式如下：

POST {你的Keycloak实例地址}/admin/realms/{目标领域名}/users/{用户ID}/logout

调用要求 #

• 必须使用**服务账户（Service Account）**认证：先创建一个客户端，开启服务账户功能，再给它分配领域角色中realm-management客户端下的manage-users权限。
• 请求需携带有效的Bearer令牌，该令牌需通过服务账户的身份流程获取。

获取用户ID的方法 #

如果ExternalIDP无法直接拿到Keycloak的用户ID，可通过以下管理API接口，根据ExternalIDP返回的用户唯一标识查询：

GET {你的Keycloak实例地址}/admin/realms/{目标领域名}/users?externalId={外部IDP的用户标识}

这里的外部IDP用户标识是认证时ExternalIDP传给Keycloak的，Keycloak会将其存储在用户的externalId字段中。

替代方案：适配前端注销接口实现后台调用 #

如果不想使用管理API，也可以通过以下方式实现无浏览器注销：

1. 获取用户的Keycloak刷新令牌（refresh_token）；
2. 调用前端注销端点，请求参数带上refresh_token：

POST {你的Keycloak实例地址}/realms/{目标领域名}/protocol/openid-connect/logout

这种方式无需浏览器参与，直接通过后台请求即可完成会话注销。

注意事项 #

• 要确保ExternalIDP能安全获取Keycloak的管理API权限，或能妥善存储用户的refresh_token用于注销调用；
• 该注销操作会终止用户在对应Keycloak领域下的所有会话，包括MyApp的关联会话。

内容的提问来源于stack exchange，提问作者Franck