自定义OidcLogoutActionBuilder时获取登出ID Token的相关问题

问题1：在OidcLogoutActionBuilder.getLogoutAction执行时，用户真的可能未登录吗？若可能，原因是什么？该方法似乎是启动登出而非登出后调用。 #

有可能出现用户未登录的情况，常见原因包括：

• 用户手动构造登出请求（比如直接在地址栏输入登出接口URL），此时会话已经过期，但用户仍发起请求；
• 并发场景：用户在一个窗口完成登出后，另一个窗口触发登出操作，此时会话已被清理；
• 会话提前失效：框架的会话超时机制后台清理了会话，但前端未及时感知，用户仍触发登出请求。
  虽然该方法是启动登出的入口，但会话状态可能已经处于未登录状态，需要做兼容处理。

问题2：getLogoutAction中的currentProfile参数来自哪里？我们使用CiviFormProfileData而非OidcProfile，但不清楚框架如何决定传入的实例。 #

这个参数是框架从当前用户会话中加载的活跃Profile实例。在CiviForm的Profile体系中，用户登录后，系统会将关联的用户Profile数据封装为CiviFormProfileData并存入会话。而OidcProfile是底层OIDC认证组件维护的Profile类型。

如果你的系统自定义了Profile存储逻辑，或者在认证流程中没有将OidcProfile同步到CiviForm的会话Profile中，框架就会传入CiviFormProfileData而非OidcProfile。简单来说：框架会选取当前会话中注册的、优先级最高的Profile实例，具体取决于你的系统在认证完成后如何初始化和存储用户Profile。

问题3：相较于使用ProfileManager.getProfile，是否有更可靠的方式获取ID token？ #

有几种更可靠的方案：

• 直接从会话独立字段读取：在OIDC认证成功后，将ID Token存入会话的独立属性（比如session.setAttribute("oidc_id_token", idToken)），登出时直接从会话中读取，无需依赖Profile类型转换；
• 扩展CiviFormProfileData：给CiviFormProfileData新增ID Token字段，在认证流程中将ID Token注入进去，这样通过currentProfile参数就能直接获取；
• 调用OIDC客户端会话接口：如果使用标准OIDC客户端库（如Spring Security OAuth2），可以通过客户端的会话管理器直接获取当前用户的ID Token，这种方式不依赖Profile的具体实现。

内容的提问来源于stack exchange，提问作者oblivion54