如何基于Keycloak OpenID与Spring Boot实现单点注销？

首先明确：OpenID Connect是支持单点注销的，你遇到的问题主要是旧版本Keycloak（3.4.3）和Spring Security适配器的配置细节没到位，下面针对你的场景给出具体解决方案：

一、先修正Keycloak客户端配置 #

在Keycloak管理控制台操作你的目标客户端：

• 进入「Settings」标签：
  • 确保「Access Type」设置为confidential（SLO需要客户端凭证验证，public类型不支持完整SLO）
  • 在「Logout Redirect URIs」中添加你的应用注销回调地址，比如http://your-app-domain/*
• 进入「Advanced」标签：
  • 找到「OpenID Connect Compatibility Modes」，开启「Backchannel Logout」（这是Keycloak主动通知所有客户端注销的核心开关，旧版本默认关闭）
  • 在「Backchannel Logout URL」中预留应用接收注销通知的端点（后面会在Spring Boot中配置这个端点）

二、调整Spring Boot应用的Spring Security配置 #

1. 配置Keycloak注销处理器 #

在你的SecurityConfig类中，添加注销相关配置，让应用注销时触发Keycloak的全局注销流程：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends KeycloakWebSecurityConfigurerAdapter {

    // 其他已有的配置（比如AuthenticationProvider、HttpSecurity基础配置）...

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        super.configure(http);
        http
            .authorizeRequests()
                // 你的权限配置...
                .anyRequest().authenticated()
            .and()
            .logout()
                .addLogoutHandler(keycloakLogoutHandler())
                .logoutSuccessUrl("/") // 注销成功后跳转的页面
                .permitAll();
    }

    @Bean
    public KeycloakLogoutHandler keycloakLogoutHandler() {
        return new KeycloakLogoutHandler();
    }
}

这个KeycloakLogoutHandler会在用户从应用发起注销时，主动调用Keycloak的注销端点，触发Keycloak注销该用户的所有客户端会话，实现SLO。

2. 配置接收Keycloak的Backchannel注销通知端点 #

当你在Keycloak控制台点击「注销所有会话」时，Keycloak会主动向所有配置了Backchannel Logout URL的客户端发送注销请求，所以需要在Spring Boot中添加一个端点来处理这个请求：

@RestController
public class KeycloakSloController {

    @PostMapping("/keycloak-logout-notification")
    public void handleKeycloakLogout(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        // 清除当前应用的用户会话
        request.logout();
        // 可以根据需求重定向到首页或登录页
        response.sendRedirect("/");
    }
}

记得把这个端点的URL（比如http://your-app-domain/keycloak-logout-notification）填到Keycloak客户端的「Backchannel Logout URL」中。

3. 完善application.properties配置 #

确保你的配置文件中包含这些关键参数：

keycloak.auth-server-url=http://auth-server/auth
keycloak.realm=你的Realm名称
keycloak.resource=你的客户端ID
keycloak.credentials.secret=你的客户端密钥（在Keycloak客户端「Credentials」标签获取）
keycloak.use-resource-role-mappings=true
keycloak.bearer-only=false
keycloak.logout-redirect-uri=http://your-app-domain/

三、针对你遇到的两个问题的修复说明 #

1. Keycloak控制台注销所有会话后应用会话未清除：
   上面配置的Backchannel Logout端点就是解决这个问题的，Keycloak会主动通知应用清除会话，不需要用户手动删除浏览器Cookie。

2. 手动调用logout()或Keycloak注销端点无法实现SLO：
   不要直接调用HttpServletRequest.logout()或手动拼接注销URL，而是通过KeycloakLogoutHandler来触发注销流程，它会帮你完成和Keycloak的交互，触发全局会话注销。

额外提示 #

Keycloak 3.4.3是比较老旧的版本，OpenID SLO的实现存在一些兼容性问题，如果条件允许，建议升级到Keycloak 10+版本，新版本的Spring Security适配器对SLO的支持更完善，配置也更简单。

内容的提问来源于stack exchange，提问作者dgr018