同一浏览器实例下Identity Server 8重定向异常问题求助

1. 确保注销流程彻底清理Identity Server会话 #

注销时必须调用Identity Server的end_session_endpoint，不能仅清除自身站点的cookie。注销请求中需携带id_token_hint参数（来自登录后获取的id_token），让Identity Server彻底终止对应用户会话，包括清除自身的认证cookie（默认是.AspNetCore.Identity.Application和idsrv.session）。

示例注销Action逻辑：

public async Task<IActionResult> Logout()
{
    // 清除本地站点认证状态
    await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
    // 触发Identity Server的标准注销流程
    return SignOut(new AuthenticationProperties
    {
        RedirectUri = "/logout-callback"
    }, "oidc");
}

2. 强制客户端站点清除旧身份凭证 #

客户端站点注销时，要清除与Identity Server关联的认证cookie（如oidc或Cookies方案的cookie），避免下次跳转时携带旧身份信息。同时，发起授权请求时，确保请求中没有残留的login_hint或id_token_hint参数——这类参数会让Identity Server优先复用旧用户会话。

3. 调整Identity Server的会话配置 #

在Identity Server启动配置中，优化会话相关设置，避免会话被意外复用：

• 根据跨域场景设置Cookie.SameSite为SameSiteMode.Lax或SameSiteMode.None，防止跨域下cookie残留
• 启用SlidingExpiration并设置合理过期时间，同时确保注销时立即清除会话cookie
• 配置IdentityServerOptions中的认证cookie策略：

services.AddIdentityServer(options =>
{
    options.Authentication.CookieAuthenticationScheme = IdentityConstants.ApplicationScheme;
    options.Authentication.CookieLifetime = TimeSpan.FromMinutes(30);
    options.Authentication.SlidingRefreshTokenLifetime = TimeSpan.FromMinutes(15);
})
.AddAspNetIdentity<ApplicationUser>()
// 其他配置项...

4. 授权请求中强制重新认证 #

客户端发起授权请求时，添加prompt=login参数，强制Identity Server忽略当前可能存在的会话，重新显示登录页面，让用户选择或输入新账号。这是多账号切换场景下最直接的解决方案。

示例授权请求参数片段：

https://your-identity-server.com/connect/authorize?
client_id=your-client-id
&redirect_uri=https://your-client-app.com/callback
&response_type=code
&scope=openid profile
&prompt=login

5. 排查浏览器缓存与第三方cookie问题 #

部分浏览器会缓存认证相关的cookie或会话信息，尤其是开启第三方cookie阻止或隐私模式时。可让用户切换账号前清除浏览器缓存和cookie，或使用隐私窗口测试，排查是否为浏览器层面的缓存导致的问题。

内容的提问来源于stack exchange，提问作者Joseph Khoury