OpenId Connect身份提供程序启动的反向通道注销不起作用

Question

我正在研究一个Java Spring Boot 项目，该项目在内部管理用户和会话。它依靠OIDC（AWS Cognito是身份提供者）进行登录，我希望注销。 我从OIDC Spec for backchannel logout那里了解到：

1. 我必须在后端应用程序中提供注销端点。我在Java Spring Boot应用程序中将 Pac4J 用作我的OIDC库，并根据Pac4J Spring Security documentation

启用了 //name, networkVersion, privateKeyPrefix, WIF_Start, CWIF_Start ("Bitcoin", 0x00, 0x80, "5", "[LK]" ) ("BitcoinCash", 0x00, 0x80, "5", "[LK]" ) ("Blackcoin", 0x19, 0x99, "6", "P" ) ("Litecoin", 0x30, 0xb0, "6", "T" ) ... 端点

2. 如果用户从身份提供者注销，则身份提供者 AWS Cognito 应该向注销端点发送请求

3. 当我在此终结点上收到有效呼叫（按照OIDC规范）时，我必须销毁与我的应用程序进行的用户会话。

但是，从身份提供者（AWS Cognito）注销的用户似乎并未导致对我的应用程序的注销端点的调用。

我无法在AWS Cognito文档中找到有关此反向通道行为的文档。

1. 我是否正确了解反向通道注销？
2. 由于OIDC注销仍处于草稿状态（截至 2019年3月12日），当前是否不受此支持？

Answer 1

我联系了Pac4J的主要开发人员，他很快得到答复。

AWS Cognito：

• 当前似乎不支持反向通道注销

Pac4J：

• OIDC库当前不支持反向通道注销，而且也不在路线图上：https://groups.google.com/forum/?fromgroups#!topic/pac4j-users/SD_IgKVZWvM，文档中引用的/ logout用于内部（至应用程序）注销+（如果已配置）将注销请求转发给身份提供商。它不是OIDC-backchannel-logout端点。