WSO2 Identity Server中OIDC登出的正确实现及登出异常问题求助

所有异常现象都来自4项配置错配，对应触发你看到的所有不符合预期的流程：

• 登出重定向地址逻辑重叠：把本地触发登出的/logout路径同时设为WSO2登出完成后的落地地址，该路径受Spring Security认证规则管控，WSO2重定向回该地址时，请求无有效登录态，会被直接拦截重定向到/login，完全绕过WSO2的登出确认环节。
• WSO2端回调地址匹配失效：WSO2控制台配置的允许登出重定向正则里，没有匹配你预设的落地地址格式，WSO2收到登出请求时会校验失败，不弹出自带的登出确认页。
• OIDC登出请求参数缺失：Spring Security的OIDC客户端登出处理器没有携带当前用户的ID Token作为id_token_hint参数，WSO2收到无有效参数的登出请求时，会直接中断流程返回登录页，不触发确认页逻辑。
• 配置项完全错位：把BackChannel Logout URI填成了WSO2自身的登出端点https://localhost:9443/oidc/logout，该配置项是要求填客户端应用接收登出事件的公开回调地址，写反了端点归属。
• 手动硬编码OIDC端点：注释掉OIDC自动发现配置后，Spring Security无法拉取到WSO2官方定义的登出端点地址、参数规则，容易出现参数格式不匹配的问题。

按以下顺序调整配置即可恢复正常登出流程：

• 拆分登出相关路径，避免权限冲突
  1. 在ConfigSecurity的authorizeRequests规则里，新增一个无需认证的公开登出完成路径/logout/complete，把该路径加入permitAll列表
  2. 调整OIDC登出成功处理器的重定向地址，把setPostLogoutRedirectUri的取值从http://localhost:8844/logout改为http://localhost:8844/logout/complete
• 修正WSO2控制台的应用配置
  1. 把回调URI的正则规则更新为regexp=(http://localhost:8844/login/oauth2/code/wso2|http://localhost:8844/logout/complete)，和你调整后的落地地址匹配
  2. 清空BackChannel Logout URI配置项的原有值（如果不需要启用后端通道登出功能），该值不需要填写WSO2自身的地址
• 开启OIDC自动发现，消除硬编码错配
  把application.properties里被注释的issuer-uri配置启用，删除手动硬编码的所有端点配置（authorization-uri、token-uri、user-info-uri、jwk-set-uri），让Spring Security自动从WSO2的OIDC发现文档拉取全量正确的端点信息：

  spring.security.oauth2.client.provider.wso2.issuer-uri=https://localhost:9443/oauth2/oidcdiscovery
  

• （可选）如果调整后还是没有触发WSO2的登出确认页，可补充ID Token传递逻辑，确保登出请求携带id_token_hint参数，WSO2才会按规则弹出确认页。

1. 用户访问本地应用的/logout路径，Spring Security销毁本地用户会话
2. 携带有效ID Token、指定的登出完成重定向地址，重定向到WSO2的OIDC登出端点
3. WSO2校验请求参数有效，弹出自带的登出确认页
4. 用户点击确认后，WSO2销毁自身的全局登录会话，重定向回公开路径/logout/complete
5. 该路径无需登录态，不会触发跳转回/login的重定向逻辑

内容的提问来源于stack exchange，提问作者BA23AC