注销后身份验证服务器的行为应该如何？

Question

我正在对产品进行评估，并且看到了不同的实现。所以我想知道哪个是正确的。

使用的库：manfredsteyer/angular-oauth2-oidc

示例 #1：

我尝试与 Keycloak 集成。

注销的行为，如下：

• 使会话令牌无效。
• 退出 idp 以防止来自浏览器的任何其他 SSO。

示例 #2：

我将我的应用程序集成到 AWS Cognito。

注销的行为，如下

• 不会使会话令牌无效。
• 只要令牌有效，仍然允许签名。

我能问一下这些行为中哪些是正确的吗？还是根据我的需要？

Answer 1

Cognito 具有供应商特定的注销端点，因此我认为您需要覆盖默认行为。

请参阅 Step 12 of my write up 和 coded solution，其中解释了我是如何使用 OIDC 客户端库做到这一点的。

如果有兴趣，您可以在 this page 上运行我部署的 SPA。