高級(jí)：?jiǎn)吸c(diǎn)登出SLO
SLO（Single Logout）指由應(yīng)用發(fā)起的全局登錄退出。當(dāng)您經(jīng)過(guò)IDaaS SSO登錄應(yīng)用后，希望退出登錄時(shí)，可以在應(yīng)用側(cè)發(fā)起全局退出，將IDaaS主登錄會(huì)話同步終止。IDaaS通過(guò)OIDC SLO標(biāo)準(zhǔn)實(shí)現(xiàn)這一流程，當(dāng)前僅限自研應(yīng)用和OIDC協(xié)議應(yīng)用可用。
SLO是身份聯(lián)邦的會(huì)話管理體系。若您的應(yīng)用僅希望忽略主會(huì)話，每次登錄均需您進(jìn)行認(rèn)證，可簡(jiǎn)單地通過(guò)授權(quán)端點(diǎn)中的prompt參數(shù)實(shí)現(xiàn)。
調(diào)用SLO端點(diǎn)
當(dāng)發(fā)起退出時(shí)，您需要在完成了應(yīng)用側(cè)會(huì)話注銷后，向IDaaS提供的應(yīng)用退出端點(diǎn)發(fā)起跳轉(zhuǎn)請(qǐng)求。
管理員可以從標(biāo)簽下方的應(yīng)用配置信息中獲取退出端點(diǎn)。
直接跳轉(zhuǎn)到這一端點(diǎn)，即可發(fā)起SLO退出請(qǐng)求。由于此時(shí)IDaaS無(wú)法判斷請(qǐng)求來(lái)源有效性，所以需要請(qǐng)您確認(rèn)退出行為。?
這一手動(dòng)退出過(guò)程可以跳過(guò)，請(qǐng)參考后面的說(shuō)明。
若當(dāng)前有IDaaS已登錄會(huì)話，IDaaS會(huì)提示您當(dāng)前退出登錄并確認(rèn)，如下圖。
若上一步中您點(diǎn)擊確認(rèn)，或當(dāng)前本就沒(méi)有IDaaS登錄會(huì)話，會(huì)提示已退出，如下圖。
退出后自動(dòng)回調(diào)
若在SLO完成后，您不希望顯示IDaaS的已退出界面，而是直接回跳到應(yīng)用中去，那么可通過(guò)配置登出回調(diào)地址（即 post_logout_redirect_uris）實(shí)現(xiàn)。?
請(qǐng)管理員前往配置，找到登出回調(diào)地址并填寫完整的回調(diào)應(yīng)用地址。
登出回調(diào)地址是白名單，可填寫最多5個(gè)。退出時(shí)傳入SLO端點(diǎn)的post_logout_redirect_uris需在此白名單范圍內(nèi)，才能完成回調(diào)。
配置保存后，即可以通過(guò)SLO端點(diǎn)中傳入post_logout_redirect_uris參數(shù)來(lái)實(shí)現(xiàn)退出后回跳了。
自動(dòng)退出
若在進(jìn)行退出時(shí)，您希望跳過(guò)手動(dòng)確認(rèn)的步驟，直接完成退出和回跳，以實(shí)現(xiàn)最佳的體驗(yàn)，那么在上述登出回調(diào)地址配置的基礎(chǔ)上，您還需要在SLO端點(diǎn)傳入額外參數(shù)：id_token_hint。
SLO退出端點(diǎn)支持的參數(shù)如下：
參數(shù) | 必填 | 描述 |
id_token_hint | 否 | 希望實(shí)現(xiàn)自動(dòng)退出時(shí)必填，用于驗(yàn)證退出請(qǐng)求合理性。 直接傳入SSO時(shí)由IDaaS簽發(fā)的、仍在有效期內(nèi)的 說(shuō)明 若 |
post_logout_redirect_uris | 否 | 當(dāng)希望實(shí)現(xiàn)退出后自動(dòng)回調(diào)時(shí)必填。 傳入希望SLO退出后的HTTPS回調(diào)地址，該地址需在IDaaS應(yīng)用管理中提前進(jìn)行配置。 |
state | 否 | 隨機(jī)字符串，傳遞給IDaaS后，若配置了自動(dòng)回調(diào)，則作為回調(diào)參數(shù)返回給應(yīng)用。 用于安全驗(yàn)證。 |
SLO端點(diǎn)請(qǐng)求示例如下：
GET https://example.aliyunidaas.com/login/app/<application_id>/oauth2/logout
?id_token_hint=${id_token}
&post_logout_redirect_uri=${post_logout_redirect_uri}
&state=${state} SLO參考流程圖
IDaaS當(dāng)前SLO功能存在以下限制：
只實(shí)現(xiàn)OIDC的SLO，暫未支持SAML SLO。
只實(shí)現(xiàn)SP-init SLO，OIDC SLO的其他模式暫未支持。
只實(shí)現(xiàn)IDaaS主登錄態(tài)的注銷，其他已登錄應(yīng)用不受影響（即未實(shí)現(xiàn)Global SLO）。