OpenId Connect身份提供程序启动的反向通道注销无法正常工作

Question

我正在开发一个内部管理用户和会话的java Spring Boot项目。它依赖于OIDC，AWS Cognito是身份提供商，用于登录，我希望，签署用户。我从OIDC Spec for backchannel logout的理解是：

1. 我必须在后端应用程序中提供注销端点。我在Java Spring Boot应用程序中使用Pac4J作为我的OIDC库，并根据logout启用了Pac4J Spring Security documentation端点
2. 如果用户从身份提供商注销，身份提供商AWS Cognito应向注销端点发送请求
3. 当我在此端点上收到有效的呼叫（根据OIDC规范）时，我必须使用我的应用程序销毁用户的会话。

但是，从身份提供程序（AWS Cognito）注销的用户似乎不会导致调用我的应用程序的注销端点。

我无法在AWS Cognito文档中找到此反向通道行为的文档。

1. 我是否正确理解了反向通道注销？
2. 这是否目前不受支持，因为OIDC注销仍然（截至2019年3月12日）处于草案状态？

Answer 1

我联系了Pac4J的主要开发人员，他非常迅速回复。

AWS认可;

• 目前似乎不支持反向通道注销

Pac4J：

• 目前OIDC的库不支持Backchannel注销，它也不在路线图上：https://groups.google.com/forum/?fromgroups#!topic/pac4j-users/SD_IgKVZWvM，文档中引用的/ logout用于内部（到应用程序）注销+（如果已配置）转发注销请求到身份提供者。它不是OIDC-backchannel-logout端点。