OpenID Backchannel注销不包含注销令牌

Question

我正在尝试在我的客户端和身份提供程序（Identity Server 4）中实现单点登出过程。我设法正确设置了一个Iframe页面，无论何时用户注销（从Identity Server本身或从客户端）都会呈现。此类呈现会触发endsession端点的调用，该端点是Identity Server的内部机制，它调用所有已注册BackChannelLogoutUri的客户端。我的客户端接收来自Identity Server的呼叫（这是一个POST呼叫），但遗憾的是呼叫未经过身份验证。

由于未经授权的呼叫，这会导致我的客户端重定向。与此同时，我无法真正调试Identity Server的此终端端点中发生的情况。任何提示如何进行的任何提示？

Answer 1

您需要在[AllowAnonymous]操作中使用POST属性在客户端应用程序中进行单点注销。在这种情况下，用户不是通过cookie验证，而是通过Identity Server在logout_token调用中传递的POST验证。