OpenID Backchannel注销不包含注销令牌

Question

我正在尝试在我的客户端和身份提供程序（Identity Server 4）中实施单点注销过程。我设法正确设置了一个 Iframe 页面，该页面在用户注销时（从Identity Server本身或从客户端）注销时都会呈现。这样的呈现触发 endsession 端点的调用，这是Identity Server的内部机制，它会调用所有已注册 BackChannelLogoutUri 的客户端。我的客户端收到了来自Identity Server的呼叫（这是POST呼叫），但是不幸的是，该呼叫未通过身份验证。

由于未授权的呼叫，这会导致我的客户端重定向。 同时，我无法真正调试Identity Server的此 endsession 端点中发生的情况。有什么技巧可以继续吗？

Answer 1

您需要在[AllowAnonymous]操作上使用POST属性，以便在客户端应用程序中单点退出。在这种情况下，不通过Cookie验证用户，而是通过Identity Server在logout_token调用中传递的POST来验证用户。