spring-security - OpenId Connect 身份提供者发起的反向 channel 注销不起作用

Question

我正在开发一个 Java Spring Boot 内部管理用户和 session 的项目。它依赖于 OIDC，AWS Cognito 作为身份提供商，用于登录，我希望，登出的用户。
我从OIDC Spec for backchannel logout中了解到的就是它:

我必须在我的后端应用程序中提供一个用于注销的端点。我正在使用 Pac4J 作为我在 java Spring Boot 应用程序中的 OIDC 库，并启用了 logout端点按照 Pac4J Spring Security documentation

身份提供者 AWS Cognito 如果用户从身份提供者注销，则应向注销端点发送请求

当我在此端点上收到有效调用(根据 OIDC 规范)时，我 必须用我的应用程序破坏用户的 session 。

但是，从身份提供商 (AWS Cognito) 注销的用户似乎不会调用我的应用程序的注销端点。

我无法在 AWS Cognito 文档中找到有关此反向 channel 行为的文档。

我是否正确理解了反向 channel 注销？

这是当前不受支持的，因为 OIDC 注销仍处于草稿状态(截至 2019 年 3 月 12 日 )？

Answer 1

我联系了 Pac4J 的主要开发人员，他非常及时地回复了。

AWS Cognito:

目前似乎不支持反向 channel 注销

Pac4J:

OIDC 的库目前不支持反向 channel 注销，也不在路线图上:https://groups.google.com/forum/?fromgroups#!topic/pac4j-users/SD_IgKVZWvM ，文档中引用的/logout 用于内部(应用程序)注销 +(如果已配置)将注销请求转发给身份提供者。它不是 OIDC-backchannel-logout 端点。