使用 Azure 的 ACS 时如何注销 Facebook？

Question

Facebook 开发者政策第 6 条规则规定我必须提供明确的注销链接，但我'我无法让它发挥作用。

我的目标是要么让我的应用程序退出 Facebook，要么让用户退出整个 Facebook 体验环境，或者同时退出这两者。到目前为止，这些我都做不到。

由于我使用的是 Azure ACS 并且没有使用典型的 FB API，这可能会变得复杂。我尝试过的事情包括：

尝试 1：Facebook OAuth 注销

 "http://www.facebook.com/logout.php?api_key={0}&;session_key={1}";
 // I don't know how to get the session key.  I attempted the values stored in 
 // the claim  "http://www.facebook.com/claims/AccessToken" but no luck

尝试 2：ACS 注销（未记录？）

https://tlsadmin.accesscontrol.windows.net/v2/wsfederation?wa=wsignoutcleanup1.0 

这两种方法都不允许备用 Facebook 用户登录。任何链接将不胜感激。

简化问题

如何让 *.accesscontrol.windows.net 重定向回我的网站？

Answer 1

2012 年 12 月的 ACS 更新包括对联合单点登录的支持：

使用 WS-Federation 协议。使用 ACS 的 Web 应用程序
使用身份提供商启用单点登录 (SSO)
WS-Federation 协议现在可以利用单点注销
能力。当用户退出 Web 应用程序时，ACS 可以
自动使用户退出身份提供商并退出
使用相同身份提供商的其他依赖方应用程序。

此功能适用于 WS-Federation 身份提供商，包括
Active Directory 联合身份验证服务 2.0 和 Windows Live ID
（微软帐户）。要启用单点注销，ACS 执行以下操作
WS-Federation 协议端点的以下任务：

• ACS 识别来自身份提供商的 wsignoutcleanup1.0 消息
  并通过向依赖方发送 wsignoutcleanup1.0 消息进行响应
  应用程序。

• ACS 识别来自依赖方的 wsignout1.0 和 wrply 消息
  应用程序并通过向身份发送 wsignout1.0 消息进行响应
  提供者和 wsignoutcleanup1.0 消息发送给依赖方
  应用程序。

来自代码示例：具有联合注销功能的 ASP.NET MVC 4 ，实现如下所示的操作以从 ACS 注销：（

请注意，Windows Identity Foundation 现已合并到 .NET 4.5 Framework 中，这就是下面的新命名空间的原因）

using System.IdentityModel.Services;
using System.IdentityModel.Services.Configuration;

public ActionResult Logout()
{
    // Load Identity Configuration
    FederationConfiguration config = FederatedAuthentication.FederationConfiguration;

    // Get wtrealm from WsFederationConfiguation Section
    string wtrealm = config.WsFederationConfiguration.Realm;
    string wreply;

    // Construct wreply value from wtrealm (This will be the return URL to your app)
    if (wtrealm.Last().Equals('/'))
    {
        wreply = wtrealm + "Logout";
    }
    else
    {
        wreply = wtrealm + "/Logout";
    }

    // Read the ACS Ws-Federation endpoint from web.Config
    // something like "https://<your-namespace>.accesscontrol.windows.net/v2/wsfederation"
    string wsFederationEndpoint = ConfigurationManager.AppSettings["ida:Issuer"];

    SignOutRequestMessage signoutRequestMessage = new SignOutRequestMessage(new Uri(wsFederationEndpoint));

    signoutRequestMessage.Parameters.Add("wreply", wreply);
    signoutRequestMessage.Parameters.Add("wtrealm", wtrealm);

    FederatedAuthentication.SessionAuthenticationModule.SignOut();

    string signoutUrl = signoutRequestMessage.WriteQueryString();

    return this.Redirect(signoutUrl);
}

Answer 2

正如这篇文章所建议的：Azure AppFabric 访问控制服务注销，您可以创建自定义注销按钮，只需在单击按钮时调用 ederatedAuthentication.WSFederationAuthenticationModule.SignOut 方法即可。然后 ACS 应该为您处理注销过程。

Answer 3

一般来说，联合注销需要两到三个步骤 - 在本地，您需要删除表单身份验证 cookie（如果使用了 form auth cookie）以及 FIM cookie，这将从本地应用程序注销。

然后，您需要向所使用的 STS 发出 wasignoutcleanup10 请求，这将使您从 STS 本身注销，并且理论上，应该向该过程中涉及的所有其他 IP（ STS 应该跟踪每个请求联系了哪些 IP）

我曾经使用 Windows Identity Foundation 构建了这样的场景，它具有所需的组件，但它确实需要一些开发来跟踪所有 IP 并发出来电。

我怀疑 ACS 目前不支持此行为，这意味着用户必须关闭浏览器才能从所有应用程序完全注销。