如何在Node.js中对接Docker部署的Keycloak实现正确登出功能

根因说明 #

你调用登出接口返回204、空响应本身是正常现象，Keycloak 登出接口成功时默认返回204 No Content，没有响应体，所以代码打印空字符串是正常的，不是接口调用失败。
登出不生效的核心原因有两个：

1. 前端存储的有效凭证未被清除：调用登出接口只是让Keycloak服务端作废了对应token，但是你前端本地（Cookie/LocalStorage/SessionStorage）存的access token、refresh token还存在，前端请求时还是会携带旧token访问业务接口
2. 业务后端未主动校验token状态：如果你的后端是本地校验JWT签名和有效期，不会主动请求Keycloak校验token是否已被作废，那么未过期的旧token依然会被后端判定为有效

具体修复步骤 #

• 步骤1：优化登出接口调用 #

Keycloak的OIDC登出接口不需要额外携带Authorization: Bearer请求头，仅需要form表单参数即可，你可以把请求头里的Authorization字段删掉，避免不必要的异常。修正后的Node.js代码如下：

var axios = require('axios');
var qs = require('qs');
var data = qs.stringify({
    'client_id': 'VideoKYC',
    'client_secret': 'my-clinet-secret',
    'refresh_token': 'refresh token from cookies'
});

// 生产环境请移除该行，配置合法的SSL证书
process.env.NODE_TLS_REJECT_UNAUTHORIZED = 0

var config = {
    method: 'post',
    url: 'https://3.109.1.86:8443/auth/realms/VideoKYC-Realm/protocol/openid-connect/logout',
    headers: {
        'Content-Type': 'application/x-www-form-urlencoded'
    },
    data: data
};

axios(config)
    .then(function (response) {
        // 登出成功，执行后续清凭证逻辑
        console.log("登出成功");
    })
    .catch(function (error) {
        console.log("登出失败", error);
    });

• 步骤2：前端清除本地凭证 #

登出接口调用成功后，立刻删除前端本地存储的所有身份凭证，包括access_token、refresh_token、id_token，这样前端后续请求就不会携带旧的有效凭证，会自动跳转到登录页面。
如果你的系统使用了Keycloak的SSO能力，还需要让前端重定向到Keycloak的登出端点，清除Keycloak种下的SSO会话Cookie，避免单点登录的其他系统仍然处于登录状态。

• 步骤3：后端补充token有效性校验（可选，根据业务安全要求） #

如果需要让已作废的token立刻失效，可以在后端增加token内省逻辑，每次请求携带token时，调用Keycloak的/protocol/openid-connect/token/introspect接口校验token是否仍有效，如果返回无效则直接返回401状态码，强制用户重新登录。如果安全要求不高，也可以把Keycloak里access_token的有效期设置为较短的时间（比如3-5分钟），就算旧token未被清理，最多数分钟后也会自动失效。 #

内容的提问来源于stack exchange，提问作者sanketh s