如何使用Node.js和Okta实现仅退出当前应用而不登出Okta账号

问题根因 #

1. 现行版本的@okta/oidc-middleware底层依赖Passport.js v0.6+，其中req.logout()为异步方法，必须在回调中执行后续重定向逻辑，否则登出操作未完成就跳转，会话状态不会被清理。
2. 你的业务逻辑中自行向req.session存储了username、group自定义字段，默认req.logout()仅会清除Okta OIDC中间件维护的认证状态字段，不会清除你自定义的字段。同时首页路由优先读取req.session.username判断登录状态，就算OIDC认证状态被清空，只要自定义字段存在就会被判定为已登录。
3. 你当前的中间件注册顺序错误：cookieParser需要放在session中间件之前注册，否则会导致session读写异常。

修复代码 #

1. 调整本地登出接口逻辑 #

// 修正后的本地登出接口
server.get('/local-logout',(req:any, res:any) => {
  req.logout((err) => {
    if (err) {
      console.error('登出异常：', err);
    }
    // 清除自定义session字段
    req.session.username = null;
    req.session.group = null;
    // 销毁全量会话并清除cookie
    req.session.destroy(() => {
      res.clearCookie('connect.sid');
      res.redirect('/');
    });
  });
});

2. 调整中间件注册顺序 #

// 修正后的中间件注册顺序
server.use(cookieParser());
server.use( session({
    secret: process.env.APP_SECRET,
    resave: false,
    saveUninitialized: false,
    cookie: {maxAge: sessionMaxAge}
  })
);
server.use(oidc.router);

修复完成后调用本地登出接口即可仅清除当前应用的会话状态，不会触发全局Okta账号登出。

内容的提问来源于stack exchange，提问作者user14146382