PAC4J RP发起注销未提供id_token_hint的问题及解决方案咨询

问题背景 #

运行PAC4J Play Scala示例应用时，发现「中心注销」功能无法适配新版Keycloak——Keycloak要求依赖方（RP）发起注销请求时必须携带id_token_hint参数，但调试发现OidcProfile对象保存到会话存储时，ID Token会被自动清除。原因是PAC4J的某次提交中，OidcProfile的removeLoginData方法会移除ID Token、Access Token和Refresh Token：

// pac4j-oidc/src/main/java/org/pac4j/oidc/profile/OidcProfile.java
@Override
public void removeLoginData() {
    removeAttribute(OidcProfileDefinition.ID_TOKEN);
    removeAttribute(OidcProfileDefinition.ACCESS_TOKEN);
    removeAttribute(OidcProfileDefinition.REFRESH_TOKEN);
}

推荐解决方案 #

自定义OidcProfile子类（优先推荐） #

继承OidcProfile并重写removeLoginData方法，只清除Access Token和Refresh Token，保留ID Token用于Keycloak的中心注销：

public class CustomOidcProfile extends OidcProfile {
    @Override
    public void removeLoginData() {
        // 仅清除有效期较长、风险更高的Access/Refresh Token
        removeAttribute(OidcProfileDefinition.ACCESS_TOKEN);
        removeAttribute(OidcProfileDefinition.REFRESH_TOKEN);
        // 保留ID Token以满足Keycloak注销的参数要求
    }
}

之后需要在PAC4J的OidcClient配置中指定使用该自定义Profile，确保客户端创建的是CustomOidcProfile实例（通常通过配置profileCreator或对应客户端的Profile类型参数实现）。

其他可选方案 #

如果项目允许调整框架配置，也可以通过修改PAC4J的登录后数据保留策略，让框架默认保留ID Token，但自定义子类的方式更灵活，无需修改框架源码，适合项目定制需求。

令牌存储在加密Cookie中的安全风险 #

将ID/Access/Refresh Token存储在加密Cookie中存在以下风险：

• 加密机制漏洞：若使用弱密钥、过时加密算法（如DES）或加密实现存在缺陷，攻击者可能解密Cookie获取令牌。
• Cookie安全配置缺失：未设置HttpOnly属性的Cookie可能被XSS攻击窃取；未设置Secure属性的Cookie会在HTTP传输中暴露；SameSite配置不当可能引发CSRF攻击，攻击者可利用用户的Cookie发起未授权请求。
• 令牌本身的风险：
  • Refresh Token有效期通常较长，一旦泄露，攻击者可长期冒充用户获取新的Access Token；
  • ID Token包含用户身份信息，虽短期有效，但泄露后可能被用于身份伪造或信息窃取。
• 分布式会话存储风险：若会话存储采用分布式方案（如Redis），存储的加密数据若被攻击者非法获取，同样存在令牌泄露的可能。

内容的提问来源于stack exchange，提问作者Damiano