oauth-2.0 - keycloak 中的单点注销原则

Question

我正在为我的项目 SSO 解决方案探索 keycloak，我正在此博客上尝试开放连接 https://developers.redhat.com/blog/2017/05/25/easily-secure-your-spring-boot-applications-with-keycloak/

我想作为一个关于Single Sign Out的问题，我想知道背后的原理是什么。试图搜索在线文档，但我没有找到任何线索。 有一段时间，我在想 oauth2 世界中的 Single Sign Out 没有优雅的解决方案。

Answer 1

这是 Keycloak 实现它的方式(是的，这不是 OAuth 的一部分):

当您使用 Keycloak 在使用 Java 客户端的应用程序中创建服务器端 session 时，一旦触发 Keycloak 的注销，Keycloak 将触发 session 注销。您需要在 Keycloak 中为您的应用程序设置一个管理 URL。这在文档中称为“反向 channel 注销”。

当您在 HTML5 客户端中使用 Keycloak 时，Keycloak 将创建一个隐藏的 IFRAME，用于检查 Keycloak-Cookie 是否仍然存在。如果不是，则 HTML5 应用程序知道您已注销。