无法使用 endsession API 从身份服务中注销

Question

我正在执行一个 GET 到

GET https://localhost:44301/connect/endsession?id_token_hint=eyJhbGciO...GzHCPw

如the docs for EndSession endpoint 建议的那样。

它似乎（在某种程度上）有效，因为我在重定向到的方法中的断点上遇到了问题。

[HttpGet("logout")]
public async Task<IActionResult> LogOut(
    [FromQuery] string id_token_hint,
    [FromQuery] string post_logout_redirect_uri,
    [FromQuery] string session,
    [FromQuery] string logoutId)
{ 
  LogoutRequest context = await InteractionService
    .GetLogoutContextAsync(logoutId);
  ...
}

在这里，我在logoutId 中获得了一个值（除非我跳过传递身份令牌，导致我null），而其他变量未设置，保持为null。起初，我很高兴看到 context 不是 null。然而，我很快就知道它的设置很糟糕，尽管关注了stuff that work。

我可以看到客户的姓名和 ID（这似乎是正确的）。但是，除了数组Parameters 之外，其他所有内容都是null，它包含零个元素。

我确保传入 identity 令牌，而不是 access 令牌。我还尝试了带有所有参数 described in the docs 的完整版本（尝试在我的配置和其他配置中提到的各种重定向 URL）。然而，同样的（错误）行为随之而来。

获取 https://localhost:44301/connect/endsession
?id_token_hint=eyJhbGciO...GzHCPw
&post_logout_redirect_uri=https://get_the_duck.off
&session=1337

由于我得到了突破性的打击并获得了交互服务可解析的logoutId 的一些价值，我觉得它已正确连接（这是预期的，因为这样的安全性按预期工作）。然而，我的应用程序似乎是一个跟踪者，只是不会让他们离开，可以这么说。我怀疑，文档没有提到一些微小的细节（或者在我不理解的公式中模糊了）。 （谷歌搜索没有给出任何我认为相关的内容。）

努力证明（包括一堆关于安全性的博客，并非专门针对注销）。

• Old .NET, no answer。
• Wrong platform
• Already tried, also not .NET Core
• Unrelated, even if it sound like so
• Waaay too old

Answer 1

为什么需要调用那个端点？涉及许多 cookie/会话，最简单的方法是在 ASP.NET Core 中使用：

[HttpPost]
[ValidateAntiForgeryToken]
public async Task Logout()
{
    await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
    await HttpContext.SignOutAsync(OpenIdConnectDefaults.AuthenticationScheme);

    //Important, this method should never return anything.
}

这通常适用于我从我的 ASP.NET Core 客户端进行完全注销。

此外，最好只接受使用 HTTP POST 而不是 GET 的注销。

Answer 2

如果您查看官方quickstart，您会看到他们建议将初始Get 组合在一起，然后是Post，中间有一个可选提示。而最终的Post 方法implementation 通过调用

await HttpContext.SignOutAsync();