RP-initiated Logout und SSO Logout in OpenID Connect: So meldet Casdoor Benutzer ab
Die Abmeldung eines Benutzers von einer OpenID Connect-App erfordert mehr als das Löschen Ihres eigenen Sitzungs-Cookies. Der Benutzer ist beim Identitätsanbieter weiterhin angemeldet, sodass der nächste Klick auf "Sign in" direkt ohne Passwort durchgeht, und die anderen Apps, die diese Identitätsanbieter-Sitzung teilen, bleiben ebenfalls angemeldet. Eine ordnungsgemäße Abmeldung besteht aus drei Teilen: Löschen der lokalen Sitzung Ihrer App, Umleiten des Browsers zum end_session_endpoint des Anbieters (RP-initiated logout), damit die Anbieter-Sitzung beendet wird, und Ermöglichen, dass der Anbieter die anderen Apps über Back-Channel-Logout informiert. Bei Casdoor ist der End-Session-Endpunkt /api/logout, Back-Channel-Logout wird pro Anwendung konfiguriert, und Refresh-Tokens können unter /api/login/oauth/revoke widerrufen werden.