如何为启用IIS Windows身份验证的ASP.NET Core Blazor项目添加注销功能？

我接手了一个部署在IIS服务器上的C# DevExpress ASP.NET Core Blazor项目。该项目已启用授权功能，用户首次打开页面时需使用域凭据登录，登录后根据其在IIS服务器所在机器的组成员身份获得不同权限等级。项目通过IIS配置启用Windows身份验证，自身未添加任何认证服务，相关配置如下：

"iisSettings": {
    "windowsAuthentication": true,
    "anonymousAuthentication": false,
    "iis": {
        "applicationUrl": "http://localhost/MyApp",
        "sslPort": 0
    },
    "iisExpress": {
        "applicationUrl": "http://localhost:59638",
        "sslPort": 44394
    }
},

目前一切运行正常，但我希望添加无需关闭浏览器即可注销的功能，对此存在以下疑问：

1. 是否可以在Razor网页中清除当前授权令牌？若可以，具体如何操作？
2. 若无法清除授权，我需要添加哪种类型的认证？

问题1：Razor页面中清除授权令牌的可行性及操作方式 #

Windows身份验证基于NTLM/Kerberos协议，由浏览器与IIS直接完成身份协商，不存在前端可直接操作的“授权令牌”。浏览器会自动缓存用户域凭据，后续请求自动携带身份信息，无法通过前端代码直接清除已有身份会话，但可通过以下间接方式实现类似注销效果：

• 后端返回401未授权响应：编写一个API接口，返回401状态码并设置WWW-Authenticate响应头，触发浏览器清除当前会话的身份缓存。
  后端代码示例：

  [AllowAnonymous]
  [HttpGet("logout")]
  public IActionResult Logout()
  {
      Response.Headers["WWW-Authenticate"] = "Negotiate, NTLM";
      return Unauthorized();
  }
  

  Blazor组件调用示例：

  @inject HttpClient Http
  @inject NavigationManager NavigationManager
  
  <button @onclick="HandleLogout">注销</button>
  
  @code {
      private async Task HandleLogout()
      {
          try
          {
              await Http.GetAsync("/logout");
          }
          catch
          {
              // 忽略请求异常，确保跳转执行
          }
          // 强制刷新页面，触发重新认证
          NavigationManager.NavigateTo("/", forceLoad: true);
      }
  }
  

  注意：不同浏览器对该方式的支持存在差异，部分浏览器可能需要用户手动确认清除凭据。

问题2：替代的认证类型推荐 #

若上述间接方式无法满足需求，推荐切换至以下认证方案：

• Cookie认证结合Windows身份验证：
  保留Windows身份验证作为登录入口，将身份信息存储到Cookie中，注销时可主动清除Cookie。
  服务配置示例：

  builder.Services.AddAuthentication(options =>
  {
      options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
      options.DefaultChallengeScheme = NegotiateDefaults.AuthenticationScheme;
  })
  .AddCookie()
  .AddNegotiate();
  

  注销接口示例：

  [HttpPost("logout")]
  public async Task<IActionResult> Logout()
  {
      await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
      return RedirectToAction("Index");
  }
  

• OpenID Connect/OAuth2.0：
  采用企业级身份提供商（如AD FS、Azure AD）实现认证，这类方案具备成熟的注销流程，调用身份提供商的注销端点即可清除全局会话，同时可清除本地应用Cookie，适合多应用集成场景。

内容的提问来源于stack exchange，提问作者Barry Andrews