如何在Ruby on Rails+Omniauth环境下从Keycloak获取ID Token实现无感登出？

你现在的核心问题是没拿到ID Token——OmniAuth Keycloak默认不会请求OpenID Connect的核心scope openid，而ID Token是OpenID协议特有的凭证，只有显式请求这个scope才会返回。按以下步骤调整即可解决：

1. 修改OmniAuth Keycloak配置，添加OpenID Scope #

在你的provider配置里新增scope参数，至少包含openid（可额外添加email、profile这类获取用户信息的scope）：

provider(:keycloak_openid,
         Secrets.keycloak_client_id,
         Secrets.keycloak_client_secret,
         name: "keycloak",
         client_options: {
             base_url: "", site: "http://localhost:8081", realm: "test-realm"
         },
         scope: "openid email profile" # 新增此行
)

2. 在认证回调中存储ID Token #

调整你的回调控制器，把返回的ID Token存入session（或用户模型字段，按需选择）：

def callback
  auth = request.env['omniauth.auth']
  # 存储现有令牌的同时，新增ID Token存储
  session[:keycloak_access_token] = auth.credentials.token
  session[:keycloak_refresh_token] = auth.credentials.refresh_token
  session[:keycloak_id_token] = auth.credentials.id_token # 新增此行

  # 其他业务逻辑：创建/查找用户、跳转首页等
  redirect_to root_path, notice: "登录成功"
end

3. 实现无提示登出逻辑 #

在登出控制器方法中，构造Keycloak的登出URL并携带必要参数：

def logout
  id_token = session[:keycloak_id_token]
  client_id = Secrets.keycloak_client_id
  post_logout_uri = "http://localhost:3000/logout/callback" # 你的应用登出回调地址

  # 构造符合要求的登出URL
  logout_url = URI.parse("http://localhost:8081/realms/test-realm/protocol/openid-connect/logout")
  logout_url.query = URI.encode_www_form({
    id_token_hint: id_token,
    post_logout_redirect_uri: post_logout_uri,
    client_id: client_id
  })

  # 清理本地会话
  session.delete(:keycloak_access_token)
  session.delete(:keycloak_refresh_token)
  session.delete(:keycloak_id_token)

  # 重定向到Keycloak完成登出
  redirect_to logout_url.to_s
end

# 登出回调（可选，用于给用户反馈）
def logout_callback
  redirect_to root_path, notice: "已成功登出"
end

4. 配置Keycloak客户端的合法跳转地址 #

登录Keycloak后台，进入test-realm → Clients → 你的客户端 → Settings，找到Valid Post Logout Redirect URIs，添加你上面使用的post_logout_uri（比如http://localhost:3000/logout/callback），保存配置。

关键注意事项 #

• post_logout_redirect_uri必须和Keycloak后台配置的完全一致，包括协议（http/https）、域名、端口、路径，否则Keycloak会拒绝跳转请求。
• 生产环境建议启用HTTPS，Keycloak默认在生产环境要求HTTPS连接（如需关闭需修改服务器配置，不推荐）。

内容的提问来源于stack exchange，提问作者Kazooie