注销端点允许重定向到Keycloak

Question

任意URL由于是在注销请求没有的clientId，这是不可能的，以验证对有效的重定向URI的客户端列表中的网址，从而使重定向到任意URL： https://idserver/auth/realms/realm/protocol/openid-connect/logout?redirect_uri=http%3A%2F%2Fattackers.website

是否有解决此问题的方法，还是必须进行代码修复？谢谢。

Answer 1

您可以（也应该）为该领域中的每个客户端注册“有效重定向URI”。如果您不指定“*”来允许任何URL，则您所描述的事情就会发生。

尝试使用领域“master”注销（使用初始配置）：您将收到错误消息“无效的重定向uri”。