如何通过node-oidc-provider实现OIDC RP发起的全局登出？

在OIDC协议中，实现**全局登出（Single Logout, SLO）**的标准且可靠方案，优先遵循协议定义的两种方式，而非手动iframe或自定义令牌撤销逻辑：

一、前端通道登出（稳定的规范替代方案） #

这是OIDC规范明确支持的方案，可替代你提到的手动iframe加载方式：

• 核心逻辑：身份提供商（OP）处理登出请求时，自动遍历当前用户所有已授权的依赖方（RP），通过隐藏iframe批量触发每个RP预先注册的frontchannel_logout_uri端点。
• 实现步骤：
  • 每个RP在OP端注册时配置frontchannel_logout_uri参数；
  • RP的该端点需接收OP的GET请求（携带iss、sid等参数），收到后立即清除用户本地会话（如cookie）；
  • 确保RP的登出端点允许跨域iframe加载（避免设置X-Frame-Options: DENY等限制）。
• 优势：无需手动维护iframe列表，OP基于用户授权会话自动处理，符合规范且稳定性高。

二、后端通道登出（最可靠的规范方案） #

这是OIDC SLO的推荐方案，不受浏览器前端限制：

• 核心逻辑：OP在用户登出时，直接向每个RP的backchannel_logout_uri端点发送POST请求，传递符合规范的logout token；RP验证令牌合法性后，清除本地用户会话。
• 实现建议：
  • 优先检查所用OIDC库的最新版本是否支持后端通道登出，或是否有官方扩展插件；
  • 若需自行扩展，基于库的钩子机制（而非直接重写核心函数）实现：
    1. 遍历用户会话中的所有授权客户端；
    2. 生成包含iss、sub、sid、aud等声明的logout token；
    3. 向RP的backchannel_logout_uri发送POST请求传递令牌；
    4. 处理RP的响应，确保登出通知生效。

三、关于自定义重写logoutSource的局限性 #

你提出的重写configuration.features.rpInitiatedLogout.logoutSource并撤销授权的思路，存在以下问题：

• 仅撤销了OP端的授权令牌，但RP端的本地会话（如cookie）不会被主动清除，用户仍可能访问RP的缓存资源，直到会话自然过期；
• 不符合OIDC SLO的规范流程，规范要求OP需主动通知RP清除会话，而非仅在OP端撤销令牌。

总结 #

优先选择后端通道登出（若库支持或可扩展支持），其次是前端通道登出，这两种均为OIDC协议定义的标准全局登出方案，比手动iframe或自定义令牌撤销逻辑更可靠、合规。

内容的提问来源于stack exchange，提问作者JBaczuk