基于IdentityServer4+angular-oauth-oidc实现多客户端独立登录的方案咨询

问题根源说明 #

你遇到的状态互串是OIDC SSO的默认行为：IdentityServer4会在用户首次登录后在浏览器种下全局身份会话Cookie，同一浏览器下所有对接该IS4实例的客户端请求授权端点时，都会自动带上这个Cookie，IS4识别到有效会话就会直接返回授权码，不会触发登录流程，天然就会实现跨客户端自动登录。

现有方案评价 #

• 方案1（改用sessionStorage）完全无法解决问题：哪怕客户端本地存储隔离了，请求IS4授权端点时还是会带上全局会话Cookie，依然会自动登录，且不符合你要求的关闭浏览器保持登录的需求。
• 方案2（添加prompt=login参数）完全符合OIDC官方规范：OIDC核心协议明确规定prompt=login的语义就是要求授权服务器忽略现有会话，强制用户重新完成身份认证，属于合规实现，但是直接用会有体验缺陷：每次token过期走授权码流刷新时都会强制跳登录页，用户需要重复输入凭据。

标准实现方案 #

以下两种方案都可以满足需求，可根据你的改造成本选择：

方案1：服务端多域名隔离（推荐，最稳定）

利用浏览器Cookie同源隔离的特性，给IdentityServer4实例绑定3个不同的子域名，3个客户端分别对接对应子域名的IS4端点：

• 比如客户端1对接idp.client1.xxx.com，客户端2对接idp.client2.xxx.com
• IS4会给不同域名种下独立的会话Cookie，天然实现跨客户端会话完全隔离
• 不需要修改客户端的登录/刷新/登出逻辑，也不影响关闭浏览器保持登录的需求，后续没有兼容性问题

方案2：客户端优化prompt=login实现（改造成本最低）

如果不想调整后端配置，可以在现有prompt=login的基础上做少量优化，即可满足需求且完全合规：

1. 客户端在localStorage存储令牌时，增加当前client_id作为key的前缀，比如token_{client_id}_access、token_{client_id}_refresh，避免同域名下多个客户端的存储内容互串
2. 令牌过期时优先用本地存储的refresh_token刷新令牌，不要走授权码流，不会触发prompt=login强制登录，避免用户重复输入凭据
3. 登出逻辑仅清理当前客户端本地存储的令牌即可，不需要跳IS4的全局登出端点，避免影响其他客户端的登录状态

内容的提问来源于stack exchange，提问作者Amel Jose