IdentityServer4配置：集成Google作为IdP时实现联合登出

好的，我来帮你搞定IdentityServer4和Google的联合登出，实现真正的单点登出（Single Sign-Out）——也就是用户一点登出，不仅IdentityServer和所有客户端应用登出，Google那边的会话也一起终止。下面是详细的操作步骤：

首先，每个客户端应用在IdentityServer的Client配置里，必须添加登出相关的参数，这样IdentityServer才能通知它们一起登出：

• 设置LogoutUri：客户端应用的登出回调地址（比如https://your-client-app.com/signout-callback-idsrv），IdentityServer会通过这个地址通知客户端执行登出操作。
• 如果是SPA或者前端应用，建议同时设置FrontChannelLogoutUri：这个地址对应的页面会被IdentityServer通过iframe加载，页面里要写清除客户端登录状态的逻辑（比如删token、清session）。
• 确保AllowOfflineAccess和RequireConsent的配置符合你的需求，不过这俩不直接影响登出，但得保证客户端的基础配置正确。

示例客户端配置代码：

new Client
{
    ClientId = "your-client-id",
    ClientName = "Your Client App",
    // 其他配置...
    LogoutUri = "https://your-client-app.com/signout-callback-idsrv",
    FrontChannelLogoutUri = "https://your-client-app.com/frontchannel-logout",
    PostLogoutRedirectUri = "https://your-client-app.com/logout-success"
}

接下来要去Google Cloud Console调整你的OAuth客户端配置，让Google知道登出后要跳回IdentityServer：

1. 打开Google Cloud Console，找到你的OAuth 2.0客户端ID。
2. 在「已授权的重定向URI」里，除了登录用的/signin-google，还要添加登出回调地址：https://your-identityserver-domain/signout-callback-google。
3. 保存配置，这个步骤很关键，不然Google不会允许IdentityServer发起的登出请求。

在IdentityServer的Startup.cs（或者Program.cs，如果你用的是.NET 6+）里，配置Google认证时要明确指定登出相关的Scheme和回调路径：

services.AddAuthentication()
    .AddGoogle(options =>
    {
        options.ClientId = "你的Google Client ID";
        options.ClientSecret = "你的Google Client Secret";
        // 指定外部Cookie的Scheme，用来存储外部登录的会话
        options.SignOutScheme = IdentityServerConstants.ExternalCookieAuthenticationScheme;
        // 登录回调路径（默认就是这个，如果你没改的话）
        options.CallbackPath = "/signin-google";
        // Google登出后的回调路径，要和你在Google Console里配置的一致
        options.SignedOutCallbackPath = "/signout-callback-google";
    });

最后，要在IdentityServer的AccountController（或者你自定义的登出控制器）里，处理外部IdP的登出请求，同时触发所有客户端的登出通知：

这里给你一个示例的Logout动作代码，你可以根据自己的业务调整：

public async Task<IActionResult> Logout(LogoutInputModel model)
{
    var logoutId = model.LogoutId;
    var vm = await BuildLogoutViewModelAsync(logoutId);

    if (User.Identity.IsAuthenticated)
    {
        // 1. 登出IdentityServer自身的本地会话
        await HttpContext.SignOutAsync();
        
        // 2. 处理外部IdP（比如Google）的登出
        var identityProvider = User.FindFirst(JwtClaimTypes.IdentityProvider)?.Value;
        if (!string.IsNullOrEmpty(identityProvider) && identityProvider != IdentityServerConstants.LocalIdentityProvider)
        {
            // 检查当前外部IdP是否支持登出
            var supportsSignout = await HttpContext.GetSchemeSupportsSignOutAsync(identityProvider);
            if (supportsSignout)
            {
                // 跳转到外部IdP的登出页面，完成后再回到IdentityServer的登出流程
                var redirectUri = Url.Action("Logout", "Account", new { logoutId = logoutId });
                return SignOut(new AuthenticationProperties { RedirectUri = redirectUri }, identityProvider);
            }
        }
    }

    // 3. 所有登出操作完成后，跳转到指定的登出成功页面（或者客户端的PostLogoutRedirectUri）
    return Redirect(vm.PostLogoutRedirectUri);
}

别忘了，客户端应用这边也得配合：

• 对于LogoutUri：这个端点要接收IdentityServer的通知，然后清除客户端自己的登录状态（比如删除access token、refresh token，清空session）。
• 对于FrontChannelLogoutUri：这个页面要写前端逻辑，比如localStorage.removeItem("access_token")，然后返回200状态码，确保IdentityServer能正确加载这个iframe完成登出通知。

• 确保所有域名都用HTTPS，Google和IdentityServer都要求HTTPS环境下的OAuth操作。
• 测试的时候，要先登录Google，再登录客户端应用，然后点击登出，检查Google的会话是否也被终止（可以打开Google的其他服务看看是否需要重新登录）。
• 如果遇到登出后Google仍保持登录的情况，检查Google Console里的回调地址是否正确，以及IdentityServer的登出逻辑是否触发了SignOutAsync("Google")。

内容的提问来源于stack exchange，提问作者cgipson