ASP.NET Core 8 MVC注销后点击浏览器返回仍回到用户页面的问题

这个问题的核心是浏览器缓存了已访问的用户资料页面，注销后返回时直接加载缓存副本，没有触发后端的身份验证校验。以下是具体解决方法：

1. 禁止敏感页面的浏览器缓存 #

通过添加响应头，强制浏览器不缓存需要身份验证的页面，确保返回时重新请求后端验证身份。

方式一：给单个Action添加缓存禁止头 #

在用户资料页面的Action中直接设置响应头：

public IActionResult Profile()
{
    // 配置缓存禁止规则
    Response.Headers["Cache-Control"] = "no-cache, no-store, must-revalidate";
    Response.Headers["Pragma"] = "no-cache";
    Response.Headers["Expires"] = "0";

    return View();
}

方式二：创建全局过滤器批量生效 #

先定义一个缓存禁止过滤器：

public class NoCacheAttribute : ActionFilterAttribute
{
    public override void OnResultExecuting(ResultExecutingContext context)
    {
        var headers = context.HttpContext.Response.Headers;
        headers["Cache-Control"] = "no-cache, no-store, must-revalidate";
        headers["Pragma"] = "no-cache";
        headers["Expires"] = "0";
        base.OnResultExecuting(context);
    }
}

然后在Program.cs中注册为全局过滤器，对所有授权页面生效：

builder.Services.AddControllersWithViews(options =>
{
    options.Filters.Add(new AuthorizeFilter());
    options.Filters.Add(new NoCacheAttribute());
});

也可以只给特定控制器/Action添加特性：

[Authorize]
[NoCache]
public class ProfileController : Controller
{
    // 控制器逻辑
}

2. 注销时彻底清除认证数据 #

确保注销操作不仅跳转页面，还完全清除用户的认证Cookie和会话数据：

public async Task<IActionResult> Logout()
{
    await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
    // 清除会话中的所有数据
    HttpContext.Session.Clear();
    return RedirectToAction("Login", "Account");
}

3. 强制后端身份验证校验 #

给所有敏感页面的Action添加[Authorize]特性，确保即使浏览器缓存了页面，刷新或后端请求时会自动校验身份，未登录则跳转登录页：

[Authorize]
public IActionResult Profile()
{
    return View();
}

4. 前端辅助校验（可选） #

在用户资料页面添加前端脚本，页面加载时检查用户是否仍处于登录状态，若已注销则自动跳转登录页：

<script>
window.addEventListener('load', function() {
    // 根据实际认证Cookie名称调整判断逻辑
    const isAuthenticated = document.cookie.includes('.AspNetCore.Identity.Application');
    if (!isAuthenticated) {
        window.location.href = '/Account/Login';
    }
});
</script>

内容的提问来源于stack exchange，提问作者Midlaj