仅在 IdentityServer4 中注销客户端

Question

有没有办法使用 IdentityServer4 执行单点注销仅限客户端？使用 endsession 端点为客户端和 IdentityServer 执行单点注销没有问题。然而，我想做的是提供一种方法来强制所有客户端在下一次请求时重新进行身份验证（以获得新的声明），但不强制用户重新输入凭据。

用例是让用户编辑存储在声明中的个人资料信息。例如，他们的名字。当用户提交对此信息的更改时，需要让所有其他客户知道他们当前拥有的声明不再有效。这可以通过完全退出用户来实现，但是用户必须重新输入他们的 ID 和密码。

看流程，我想我要做的是直接执行内部EndSessionCallbackEndpoint，而不删除IdentityServer本身的身份验证cookie。

Answer 1

下面是一个有效的解决方案，但这真的感觉我在滥用系统。如果有人有提供预期功能的“标准”方式，请告诉我。

此解决方案将Logout 方法更改为“嗅探”魔术PostLogoutRedirectUri 并跳过删除本地身份验证cookie。显然不是特别可扩展或优雅。

[HttpPost]
[ValidateAntiForgeryToken]
public async Task<IActionResult> Logout(LogoutInputModel model)
{
    // build a model so the logged out page knows what to display
    var vm = await BuildLoggedOutViewModelAsync(model.LogoutId);

    // Special post-logout URL that should only log out clients, but keep the local authentication cookie.
    bool clientsOnly = !string.IsNullOrEmpty(vm.PostLogoutRedirectUri) && vm.PostLogoutRedirectUri.StartsWith("https://example.com/EditProfile");

    if (User?.Identity.IsAuthenticated == true && !clientsOnly)
    {
        // delete local authentication cookie
        await _signInManager.SignOutAsync();

        // raise the logout event
        await _events.RaiseAsync(new UserLogoutSuccessEvent(User.GetSubjectId(), User.GetDisplayName()));
    }

    // check if we need to trigger sign-out at an upstream identity provider
    if (vm.TriggerExternalSignout)
    {
        // build a return URL so the upstream provider will redirect back to us after the
        // user has logged out. this allows us to then complete our single sign-out processing.
        string url = Url.Action("Logout", new { logoutId = vm.LogoutId });

        // this triggers a redirect to the external provider for sign-out
        return SignOut(new AuthenticationProperties { RedirectUri = url }, vm.ExternalAuthenticationScheme);
    }

    return View("LoggedOut", vm);
}

Answer 2

这相当简单，并通过 IDS4 中的公共 API (IIdentityServerInteractionService) 公开。这是一个非常简化的步骤示例。这包括来自和反向通道的注销，因为两者都是由对SignOutIFrameUrl 的请求触发的。

首先，我们需要创建一个注销上下文并重定向到将执行注销的操作：

var signoutId = await _identityInteractionService.CreateLogoutContextAsync();
return RedirectToAction(nameof(ClientSignout), new { signoutId });

ClientSignout 操作：

var context = await _identityInteractionService.GetLogoutContextAsync(signoutId);
ViewBag.SignOutIframeUrl = context.SignOutIFrameUrl;
return View();

ClientSignout.cshtml：

<iframe src="@ViewBag.SignOutIframeUrl" id="SignOutIframe" frameborder="0" scrolling="no" style="display:none" />
//TODO: Detect client-side once iframe has loaded and then maybe redirect somewhere else?

这里的代码根本不涉及当前的身份验证会话，但另一种方法是强制刷新当前会话 ID，从而在任何具有会话监控的客户端中触发刷新。

ETA：我想得越多，我认为客户端会话监控方法是正确的。客户可以控制接下来要做什么。另一种选择是客户端定期调用 userinfo 端点以使用提供的访问令牌获取更新的声明。我们实际上使用了所有 3 种机制来获得良好的效果。

2020 年 10 月： 除此之外 - 我认为这些天我更倾向于使用 OIDC 反向通道规范：https://openid.net/specs/openid-connect-backchannel-1_0.html

我最近做了一个 PoC，后端代码可以为给定的一组用户和客户端结束客户端会话，而完全不涉及用户的浏览器。如果您想因政策更改或 IDP 中的“在所有地方退出”功能而强制重新进行身份验证，此功能非常强大。

但请注意，标准 identityserver4 代码需要调整才能使其正常工作，因为目前假定它只会用作正常注销流程的一部分。