使用表单认证时，如何用C#获取Keycloak登出所需的id_token？

Keycloak 19严格遵循OpenID Connect规范，登出接口不再支持旧版的redirect_uri参数，必须同时提供id_token_hint（用于标识当前登录用户）和post_logout_redirect_uri（登出后跳转地址），且后者需要在Keycloak客户端配置中加入允许列表。

核心解决思路 #

登录成功后将Keycloak返回的id_token存储到Session或Cookie中，登出时取出该值拼接到登出URL即可。

代码修改步骤 #

1. 登录时保存id_token
   在你的ExecuteSignIn方法中，当成功获取到Keycloak的认证响应后，将id_token存入Session：

// 示例：假设通过认证客户端获取到token响应
// 实际代码需根据你使用的Keycloak客户端库调整
var tokenResponse = /* 从Keycloak获取token的业务逻辑 */;
if (tokenResponse != null && !string.IsNullOrEmpty(tokenResponse.IdToken))
{
    HttpContext.Current.Session["KeycloakIdToken"] = tokenResponse.IdToken;
}

2. 修改登出方法，添加id_token_hint参数
   更新ExecuteSignOut方法，从Session取出id_token并构建符合要求的登出URL：

public static void ExecuteSignOut(HttpRequest request, HttpResponse response)
{
    var redirectUri = request.Url.AbsoluteUri;
    // 从Session中获取之前保存的id_token
    var idTokenHint = HttpContext.Current.Session["KeycloakIdToken"] as string;

    // 处理id_token不存在的异常情况
    if (string.IsNullOrEmpty(idTokenHint))
    {
        response.Redirect($"{Realm}/protocol/openid-connect/logout", false);
        HttpContext.Current.ApplicationInstance.CompleteRequest();
        return;
    }

    // 拼接符合Keycloak 19要求的登出URL
    var signOutUri = $"{Realm}/protocol/openid-connect/logout?" +
                    $"id_token_hint={HttpUtility.UrlEncode(idTokenHint)}&" +
                    $"post_logout_redirect_uri={HttpUtility.UrlEncode(redirectUri)}";
                    
    response.Redirect(signOutUri, false);
    HttpContext.Current.ApplicationInstance.CompleteRequest();
}

关键注意事项 #

• 配置Keycloak客户端：登录Keycloak后台，找到你的客户端，在Settings标签下的Valid Post Logout Redirect URIs中添加https://my-application/UserLogin.aspx（或你实际的跳转地址），否则Keycloak会拒绝重定向请求。
• 存储安全性：如果选择用Cookie存储id_token，需设置HttpOnly、Secure和SameSite属性，避免XSS攻击。
• id_token有效性：即使id_token已过期，Keycloak仍会接受它来识别用户完成登出操作，无需额外刷新。

内容的提问来源于stack exchange，提问作者Markku Rintala