Spring Authorization Server中OIDC会话管理、注销及SSO实现方案咨询

根据Spring Authorization Server官方文档的功能列表，其OIDC的会话管理与注销支持确实尚未完全集成，以下是几种可行的替代方案：

1. 自定义扩展OIDC会话管理与注销流程 #

Spring Authorization Server提供了足够的扩展点，可自行实现OIDC标准中的会话管理与注销逻辑：

• 实现end_session_endpoint：自定义控制器处理OIDC注销请求，完成核心操作：
  1. 验证id_token_hint等参数，确认用户身份合法性
  2. 清除授权服务器上的用户会话（推荐结合Spring Session实现会话集中存储）
  3. 根据客户端配置，触发front-channel或back-channel注销，通知所有已登录客户端清理用户会话
• 会话全局管理：集成Spring Session（如Redis、JDBC存储方式），将用户会话集中存储，确保SSO场景下注销操作能全局生效

示例代码片段（自定义注销控制器核心逻辑）：

@Controller
@RequestMapping("/oauth2/oidc/logout")
public class OidcLogoutController {

    @Autowired
    private SessionRegistry sessionRegistry;

    @GetMapping
    public String handleLogout(@RequestParam("id_token_hint") String idTokenHint,
                               @RequestParam(value = "post_logout_redirect_uri", required = false) String redirectUri) {
        // 解析id_token_hint获取用户主体信息
        Object principal = /* 从id_token解析得到的用户主体 */;
        // 清理当前用户的所有会话
        sessionRegistry.getAllSessions(principal, false).forEach(sessionInformation -> {
            sessionInformation.expireNow();
        });
        // 重定向到指定地址或默认注销成功页
        return redirectUri != null ? "redirect:" + redirectUri : "redirect:/logout-success";
    }
}

2. 结合Spring Security OAuth2 Client与Spring Session实现SSO #

如果授权端的OIDC能力暂时不足，可将Spring Security OAuth2 Client作为客户端层核心，配合Spring Session实现SSO：

• SSO实现：在所有客户端应用中配置Spring Security OAuth2 Client，指向同一授权服务器，同时通过Spring Session共享会话状态，实现一次登录多端生效
• 注销实现：在客户端应用中配置Spring Security的logout流程，同时调用授权服务器的自定义注销接口，清除授权端的用户会话，确保全平台注销

3. 过渡使用成熟的OIDC身份提供商 #

若不想投入精力自定义开发，可暂时使用完全支持OIDC会话管理与注销的成熟产品（如Keycloak）作为身份提供商，其与Spring生态集成友好，可快速实现SSO及注销功能，待Spring Authorization Server完善相关特性后再进行迁移。

内容的提问来源于stack exchange，提问作者en_passant