ASP.NET Core 8 Identity登出后外部登录无需凭据的问题

当前使用IdentityComponentsEndpointRouteBuilderExtensions.cs中的登出方法仅能完成应用内登出（销毁本地认证Cookie），但存在关键问题：用户再次通过MS Entra Id、GitHub、Google等外部提供商登录时，无需输入密码即可直接进入应用——这是因为外部提供商的会话凭据未被清除，任何能访问该设备/浏览器的人都可通过关联邮箱+对应外部提供商免密登录。

要实现全局登出（同时清除应用内和外部提供商的会话凭据），需修改登出逻辑，调用外部提供商的登出回调：

修改后的登出端点代码 #

accountGroup.MapPost("/Logout", async (
    ClaimsPrincipal user,
    SignInManager<ApplicationUser> signInManager,
    [FromForm] string returnUrl) =>
{
    // 清除应用内的认证会话
    await signInManager.SignOutAsync();

    // 获取外部登出所需的标识ID
    var logoutId = await signInManager.GetExternalLogoutIdAsync();
    if (!string.IsNullOrEmpty(logoutId))
    {
        // 跳转至Identity内置的外部登出处理端点，完成外部提供商会话清除
        return TypedResults.Redirect($"~/Identity/Account/ExternalLogout?logoutId={logoutId}&returnUrl={returnUrl}");
    }

    // 若无外部会话，直接跳转至指定返回地址
    return TypedResults.LocalRedirect($"~/{returnUrl}");
});

关键说明 #

• GetExternalLogoutIdAsync：生成用于关联外部登出请求的唯一标识，ASP.NET Core Identity会通过这个ID完成与外部提供商的会话同步清除。
• 外部提供商配置：需确保在对应提供商的管理后台（如Azure门户的MS Entra Id、GitHub开发者设置）中，将登出回调URL配置为应用的ExternalLogout端点（格式通常为https://你的域名/Identity/Account/ExternalLogout），否则外部提供商可能无法正确清除会话。

内容的提问来源于stack exchange，提问作者TexasJetter