Skip to main content
2021年12月1日に、ログアウト時の動作が変更され、ログアウトの実行中にから/login/callbackへ渡されるreturnToクエリパラメータではなく、常にAuth0のログアウトAPIに渡されたURIにユーザーがリダイレクトされるようになります。使用されるURIは、セッションのログアウトを要求するために呼び出されたAPIによって異なります。
  • https://{yourDomain}/logout: Auth0はreturnToパラメータを使用します
  • https://{yourDomain}/v2/logout?federated: Auth0はreturnToパラメータを使用します
  • https://{yourDomain}/wsfed/{yourClientId}?wa=wsignout1.0: wreplyパラメータ
Auth0にこれらのAPIのいずれかへの事前の呼び出し記録がない場合、ログアウトは完了しますが、リダイレクトは行われず、エンドユーザーにはエラーページが表示されます。

​
影響を受けるエンドポイント

この変更の影響を受けるエンドポイントは次のとおりです。 次の使用パターンに依存しているテナントは、2021年12月01日以降、意図したリダイレクト URI にリダイレクトできなくなります。
  1. Logout URL を指定するための /v2/logout or /wsfed/{yourClient}?wa=wsignout1.0 への事前の呼び出しなしに、/login/callback?returnTo を呼び出すアプリケーション。
  2. /login/callback?returnTo を呼び出す際に、returnTo に、先行する /v2/logout または /wsfed/{yourClientId} の呼び出しで最初に指定された値とは異なる値を指定する IDプロバイダー。
  3. 影響を受ける API のいずれかに対して、呼び出しごとに異なるリダイレクト URI を指定しながら、同時に呼び出しを行うアプリケーション。
  4. /v2/logout または /wsfed/{yourClientId}?wa=wsignout1.0 への事前の呼び出しの有無にかかわらず、/authorize API への呼び出しを、影響を受ける API のいずれかへの呼び出しと同時または交互に行うアプリケーションまたはユーザー。

​
対応

  1. Auth0 Dashboard > Monitoring > Logs に移動し、type:depnote AND description:*unvalidated*redirects* を検索して、非推奨の動作に依存しているアプリケーションを特定します。
  2. 影響を受ける各アプリケーションについて、以下を確認します。
    1. アプリケーションまたは Relying Party が、Auth0 の公開 API のいずれかを使用してログアウトを開始していること: Authentication API: Logout または Authentication API: WS-Federation。
    2. アプリケーションが、/login/callback?returnTo に返される Logout URL を IDプロバイダーが変更することを前提としていないこと。こうした変更は今後反映されません。
    3. アプリケーションが、異なる Logout URL を使ってログアウト API を同時に呼び出していないこと。Auth0 では、ある時点で 1 つのユーザーエージェントにつき 1 つの Logout URL しか保存されないため、同時に進行するログアウト処理ではリダイレクトに失敗します。
    4. アプリケーションが、/authorize への呼び出しをログアウト API への呼び出しと同時に、または交互に実行していないこと。ログイン トランザクションが完了すると、ユーザーエージェントに保存された Logout URL は消去されるため、同時に進行するログアウト処理ではリダイレクトに失敗します。
    5. アプリケーションとユーザーが、/authorize への呼び出しと影響を受ける API のいずれかへの呼び出しを交互に実行していないこと。
移行対応が完了し、テストも終わったら、移行を確認してください。

​
移行の確認

アプリケーションの移行が完了し、非推奨の使用パターンに依存しなくなったことを確認したら、2021年12月1日より前の任意のタイミングで非推奨の動作を無効にし、変更内容を確認してください。
  1. Auth0 Dashboard > Tenant Settings > Advanced に移動し、Migrations セクションを探します。
  2. Unvalidated redirects from /login/callback スイッチを無効にします。このスイッチをオフにすると、そのテナントで非推奨の動作が無効になり、使用できなくなります。
このスイッチを無効にしたあとで Logout URL へのリダイレクトが期待どおりに機能しない場合は、アプリケーションがまだ非推奨の動作に依存していることを示しています。 移行が本番環境で正常に実施され、確認できたら、このスイッチを恒久的に無効にして、非推奨の機能が今後使用されないようにできます。2021年12月1日に、Auth0 は関連するスイッチとともにこの非推奨の動作を完全に削除します。