Keycloak 15.0通过REST端点登出无法失效Token问题

问题根因 #

你的请求存在两处核心错误，同时触发了Keycloak 15的登出逻辑异常：

1. 表单参数格式错误：refresh_token参数错误使用冒号:作为键值分隔符，不符合application/x-www-form-urlencoded格式要求，Keycloak无法正确读取到刷新令牌，不会执行作废逻辑
2. 多余的请求头干扰：你携带了Authorization: Bearer token请求头，Keycloak会优先校验该Access Token的有效性，如果该令牌已过期/不属于当前客户端，会直接返回203状态码，跳过后续的刷新令牌作废流程
3. 额外注意：Keycloak默认仅作废刷新令牌，Access Token本身是无状态的JWT，登出后不会立刻失效，只有等自身过期后才会无法使用，如果你需要校验Access Token是否有效，需要调用令牌自省接口判断。

正确的登出请求写法 #

移除Authorization请求头，修正参数分隔符即可：

POST http://localhost:8180/auth/realms/javatechbd/protocol/openid-connect/logout
Content-Type: application/x-www-form-urlencoded

client_id=my-client-id&client_secret=my-client-secret&refresh_token=my-refresh-token

补充规则 #

• 如果是公开客户端（无client_secret），可以省略client_secret参数，仅传client_id和refresh_token即可
• 如果需要作废该用户的所有登录会话，需要调用Keycloak管理员接口的用户会话作废接口，当前OIDC登出端点仅作废当前refresh_token对应的会话

生效验证方式 #

登出完成后调用令牌刷新接口，使用刚才的refresh_token尝试刷新：

POST http://localhost:8180/auth/realms/javatechbd/protocol/openid-connect/token
Content-Type: application/x-www-form-urlencoded

grant_type=refresh_token&client_id=my-client-id&client_secret=my-client-secret&refresh_token=my-refresh-token

如果返回400状态码，错误信息为invalid_grant: Invalid refresh token，说明登出逻辑已正常生效。

内容的提问来源于stack exchange，提问作者Mahadi Hasan