在 Keycloak id 令牌中启用 sid 声明

Question

我目前正在将 Keycloak 配置为联合身份提供商，以测试 OIDC 反向通道注销流程。

在 id 令牌和注销令牌中，默认情况下它们不包含 sid 声明，因为它是可选声明。但是在客户端的配置中，有一个配置可以在反向通道注销令牌中启用会话标识符。 Config to enable 'sid' claim。如果启用此功能，则注销令牌将具有 sid 声明，但 id 令牌不会。

OIDC Specification 第 2.1 节，

backchannel_logout_session_supported： 可选的。布尔值，指定 OP 是否可以在 Logout Token 中传递 sid（会话 ID）Claim 以标识与 OP 的 RP 会话。如果支持，sid 声明也包含在 OP 发布的 ID 令牌中。如果省略，则默认值为 false。

据此，如果sid 声明包含在注销令牌中，id 令牌也应该有sid 声明

有没有办法在 id 令牌中也包含 sid 声明？ 如果不是，那么仅在注销令牌中而不在 id 令牌中声明 sid 的目的是什么？

Answer 1

我不熟悉反向通道流程，但通常您希望使用 KeyCloak 的“映射器”概念将声明添加到令牌中。身份提供者和客户端都可以拥有映射器，具体取决于您需要添加数据的位置。

客户端和 IdP 配置将有不同的“映射器类型”可用。 “映射器类型”字段是配置映射器时最重要的字段 - 它确定数据的来源（某些会话值、某些用户属性等）。我们经常需要为新的映射器类型编写小的自定义实现，以从 Java 层中提取一些数据，以便我们可以将其放入令牌中。