PHP应用基于Keycloak OAuth2客户端库实现Keycloak服务器登出咨询

要完成完整的登出流程，你需要同时销毁本地应用会话和触发Keycloak服务器端会话注销，具体操作如下：

1. 生成Keycloak登出链接 #

通过已初始化的oauth2-keycloak Provider实例，结合用户登录后获取的ID Token，生成Keycloak的登出URL：

// 假设$provider是已配置好的Keycloak Provider实例
// $user是登录后获取的用户对象（包含id_token）
$logoutParams = [
    'id_token_hint' => $user->getIdToken(), // 必须：Keycloak用来识别目标会话
    'post_logout_redirect_uri' => 'https://你的应用域名/logout-success' // 登出后跳转回应用的地址
];
$logoutUrl = $provider->getLogoutUrl($logoutParams);

注意：post_logout_redirect_uri必须提前在Keycloak控制台的对应客户端设置中，添加到Valid Post Logout Redirect URIs列表里，否则Keycloak会拒绝跳转。

2. 销毁本地应用会话 #

在跳转至Keycloak登出端点前，先清理PHP应用的本地会话：

// 原生PHP会话销毁方式
session_start();
session_unset();
session_destroy();

// 若使用Laravel等框架，改用框架自带的会话销毁方法，比如：
// auth()->logout();
// session()->invalidate();

3. 重定向到Keycloak登出端点 #

最后将用户重定向到生成的登出URL，完成Keycloak服务器端会话注销：

header("Location: {$logoutUrl}");
exit;

额外注意点 #

• 如果用户通过SSO登录了多个关联应用，Keycloak完成服务器端注销后，会自动同步注销其他应用的会话（前提是这些应用都配置了正确的登出回调）。
• 若未持有id_token，也可以用refresh_token作为参数，但id_token_hint是官方推荐的方式。

内容的提问来源于stack exchange，提问作者Abhishek Poddar