Выход с AspNet.Security.OpenIdConnect.Server (ASP.NET vNext)

Question

Я использую Visual Studio 2015 Enterprise и ASP.NET vNext Beta8 для выпуска и использования токенов JWT, как описано here.

В нашей реализации мы сохраняем некоторые детали клиента в Redis при выпуске маркера, и мы хотели бы сбросить эту информацию при выходе пользователя из системы.

Мой вопрос - это то, что лучше всего подходит для выхода из системы OIDC?

Хотя я мог свернуть свой собственный контоллер для этой цели, я не мог не заметить, что Open ID Connect (OIDC) кажется несколько загрунтованным для обработки этого случая. Например, OIDC имеет обработчик OnLogoutEndpoint и LogoutEndpointPath. Но когда я вызываю URI OIDC logout, который, как представляется, обработчик принимает любую случайную форму x-www-form-urlencoded, которую я бросаю в нее и никоим образом не требую наличия токена.

Любые рекомендации относительно надлежащей практики выхода из системы OIDC будут очень оценены.

Answer 1

В AspNet.Security.OpenIdConnect.Server логика, используемая для конечной точки выхода, остается в виде упражнения.

В этом sample он реализован с использованием контроллера MVC 6, где вы, конечно же, можете добавлять пользовательскую логику для удаления кэшированных данных с сервера Redis.

[HttpPost("~/connect/logout")] 
[ValidateAntiForgeryToken] 
public async Task<IActionResult> Logout() { 
    // When invoked, the logout endpoint might receive an unauthenticated request if the server cookie has expired. 
    // When the client application sends an id_token_hint parameter, the corresponding identity can be retrieved using AuthenticateAsync. 
    var identity = await HttpContext.Authentication.AuthenticateAsync(OpenIdConnectServerDefaults.AuthenticationScheme); 

    // Remove the cached details here. If you need to determine 
    // who's the authenticated user, you can use the identity variable. 

    // Remove the authentication cookie and return the user to the client application. 
    return SignOut("ServerCookie", OpenIdConnectServerDefaults.AuthenticationScheme); 
} 

Вы также можете сделать что-то подобное непосредственно из LogoutEndpoint события. Не забудьте позвонить context.HandleResponse(), чтобы убедиться, что запрос не перехвачен другим промежуточным программным обеспечением.