一つのlogoutでは全部消えない

OAuth/OIDCを使うアプリには少なくとも次の状態があります。

画面からTokenを消してもAS sessionは残ります。ASからlogoutしても、すでに発行済みAccess Tokenが即時無効になるとは限りません。これらを「ログアウト済み」という一語で隠さないことが重要です。

Public Clientのlocal logout

React版はmemory上のToken Setと表示dataを消します。

setTokens(null)
setInspector({})
setNotes([])

Browser storageへTokenを置いていないため、追加の永続削除はありません。ただしAS cookieが残っていれば、次のAuthorization Requestでpassword入力が省略される場合があります。Consent policyは別に評価されます。

RFC 7009のrevocation endpointへRefresh Tokenを送ると、継続grantを終了できます。Access Tokenも受付対象にできますが、JWTの即時失効をRSへどう反映するかは別問題です。

Opaque Tokenはintrospectionでinactiveを即時観測しやすい一方、JWT local verificationではexpiryまで有効に見える場合があります。短いAccess Token寿命とRefresh Token revocationを組み合わせます。

OIDC Clientはdiscoveryのend_session_endpointへ移動し、必要に応じてid_token_hintと事前登録したpost_logout_redirect_uriを送ります。

GET /api/auth/oauth2/end-session?
  id_token_hint=...&
  post_logout_redirect_uri=https%3A%2F%2Fclient.example%2Fsigned-out&
  state=...

post-logout redirectもopen redirectにしないよう完全一致登録します。Logout responseのstateも開始transactionへ結び付けます。

Part 5のBFFでは、まずserver DBのToken Setとsession recordを削除し、HttpOnly cookieをexpireさせます。Federated logoutを行う場合だけAS end-sessionへredirectします。

ASが到達不能でもlocal sessionを終了できるようにするか、revocation失敗をretry queueへ入れるかはproduct policyです。利用者に「すべての端末から失効した」と表示するなら、その証拠が必要です。

次のPartではBrowserからOAuth Tokenの所有権を取り上げ、BFFへ移します。