single-sign-on - OpenID 反向通道注销不包含注销令牌

Question

我正在尝试在我的客户端和身份提供者（身份服务器 4）中实现单点注销过程。我设法正确设置了一个iframe页面，该页面在用户注销时（无论是从身份服务器本身还是从客户端）都会呈现。这样的渲染会触发endsession端点的调用，这是 Identity Server 的一种内部机制，它调用所有注册了BackChannelLogoutUri的客户端。我的客户收到来自 Identity Server 的调用（这是一个 POST 调用），但不幸的是，该调用未经过身份验证。

由于未经授权的呼叫，这会导致我的客户端重定向。同时，我无法真正调试 Identity Server 的这个endsession端点中发生的事情。关于如何进行的任何提示？

标签： single-sign-onopenididentityserver4identityserver3

Answer 1

您需要[AllowAnonymous]在您的操作中使用属性以POST在客户端应用程序中进行单点注销。在这种情况下，用户不是通过 cookie 验证的，而是通过logout_tokenIdentity Server 在POST调用中传递的。