如何通过Keycloak OpenID的logout_token在后台登出时识别登录用户？

要处理Keycloak的Back Channel Logout请求并关联到对应的Django会话，核心是解析验证logout_token提取用户标识，再关联到存储的会话记录，具体步骤如下：

1. 解析并验证Logout Token #

logout_token是标准JWT令牌，需先验证合法性（来源、签名、有效期等），再解析用户信息。可使用python-jose库处理JWT：

首先安装依赖：

pip install python-jose[cryptography]

在Django的logout接口中实现解析逻辑：

from jose import jwt, JWTError
from django.http import HttpResponseBadRequest, HttpResponse
from django.conf import settings

def backchannel_logout(request):
    # 根据Keycloak请求方式获取logout_token，可能是POST表单或JSON参数
    logout_token = request.POST.get('logout_token') or request.data.get('logout_token')
    if not logout_token:
        return HttpResponseBadRequest("Missing logout_token")
    
    # 从Keycloak获取公钥（建议提前缓存，避免重复请求）
    def fetch_keycloak_public_key():
        # 从Keycloak的/.well-known/openid-configuration获取jwks_uri，再拉取公钥
        import requests
        config = requests.get(f"{settings.KEYCLOAK_REALM_URL}/.well-known/openid-configuration").json()
        jwks = requests.get(config['jwks_uri']).json()
        return jwks['keys'][0]
    
    try:
        # 验证并解析JWT
        payload = jwt.decode(
            logout_token,
            fetch_keycloak_public_key(),
            algorithms=["RS256"],
            audience=settings.KEYCLOAK_CLIENT_ID,  # Django服务在Keycloak的客户端ID
            issuer=settings.KEYCLOAK_REALM_URL     # Keycloak Realm地址
        )
    except JWTError as e:
        return HttpResponseBadRequest(f"Invalid logout_token: {str(e)}")
    
    # 提取用户唯一标识，优先用sub（Keycloak用户唯一ID），其次用username
    user_sub = payload.get('sub')
    username = payload.get('preferred_username')

2. 关联用户与Django会话 #

要找到用户对应的会话，需在用户登录时记录会话与用户的绑定关系：

• 创建自定义模型存储关联：

from django.db import models
from django.contrib.sessions.models import Session

class UserSession(models.Model):
    user_sub = models.CharField(max_length=255)  # 存储Keycloak用户的sub字段
    session = models.OneToOneField(Session, on_delete=models.CASCADE)

• 用户登录时建立关联：

# 在验证Bearer Token并创建Django会话的逻辑中
from keycloak import KeycloakOpenID

def authenticate_via_bearer(request):
    bearer_token = request.META.get('HTTP_AUTHORIZATION', '').split(' ')[1]
    keycloak = KeycloakOpenID(
        server_url=settings.KEYCLOAK_SERVER_URL,
        client_id=settings.KEYCLOAK_CLIENT_ID,
        realm_name=settings.KEYCLOAK_REALM_NAME
    )
    userinfo = keycloak.userinfo(bearer_token)
    user_sub = userinfo['sub']
    
    # 初始化会话（如果未创建）
    if not request.session.session_key:
        request.session.create()
    
    # 绑定用户与会话
    UserSession.objects.update_or_create(
        user_sub=user_sub,
        defaults={'session_id': request.session.session_key}
    )

3. 销毁用户的Django会话 #

在Back Channel Logout接口中，通过提取的user_sub找到关联会话并销毁：

def backchannel_logout(request):
    # 前面的token解析逻辑...
    user_sub = payload.get('sub')
    
    # 清理该用户所有关联会话（支持多设备登录场景）
    user_sessions = UserSession.objects.filter(user_sub=user_sub)
    for us in user_sessions:
        us.session.delete()
        us.delete()
    
    return HttpResponse(status=204)  # Keycloak期望204状态码表示处理成功

关键注意事项 #

• 缓存Keycloak公钥：不要每次解析token都请求Keycloak接口，缓存公钥可大幅提升性能。
• 优先使用sub标识用户：sub是Keycloak用户的永久唯一ID，比username更可靠（username可能被修改）。
• 处理多会话场景：同一用户可能在多个设备登录，需销毁所有关联会话。
• 严格验证Token：必须验证issuer、audience、签名和有效期，防止恶意请求。

内容的提问来源于stack exchange，提问作者rep_movsd