node-oidc-provider登出未清除_session与.session.legacy Cookie问题

你遇到的问题是因为_session和.session.legacy是node-oidc-provider自身维护的会话管理Cookie，当前代码仅清除了业务相关Cookie，未让provider正确处理自身会话销毁逻辑，或清除Cookie的参数与设置时不匹配，导致浏览器未移除它们。以下是具体解决步骤：

1. 对齐会话Cookie配置与清除参数 #

node-oidc-provider创建会话时会设置Cookie的domain、path、secure等属性，清除时必须完全匹配这些属性才能让浏览器删除Cookie。初始化provider时需显式配置会话Cookie选项：

const provider = new Provider('http://your-auth-domain', {
  cookies: {
    session: {
      domain: '.your-domain.com', // 匹配实际业务域名
      path: '/',
      secure: process.env.NODE_ENV === 'production',
      sameSite: 'Lax',
      httpOnly: true,
    },
    // 其他Cookie配置项
  },
  // 已有的features等配置
});

2. 确保provider自动处理会话Cookie清除 #

/oidc/session/end端点本身负责清除provider的会话Cookie，需满足两个前提：

• 传递的id_token_hint是有效且未过期的ID Token
• post_logout_redirect_uri已添加到客户端配置的post_logout_redirect_uris允许列表中

若provider未自动清除Cookie，大概率是请求上下文未关联有效会话，或Cookie属性与设置时不匹配。

3. 调整自定义logout路由逻辑 #

修改路由，确保业务Cookie清除参数与设置时一致，同时让provider完成自身会话销毁：

app.get('/logout', async (req, res) => {
    const { redirect_uri } = req.query;
    const id_token = req.cookies.id_token;

    // 清除业务Cookie，参数需与设置时完全匹配
    const cookiesToClear = ['id_token', 'access_token', 'token_expiration', 'expires_in', 'redirect_uri', 'code_verifier', 'state'];
    cookiesToClear.forEach(cookieName => {
        res.clearCookie(cookieName, { 
            httpOnly: true, 
            secure: process.env.NODE_ENV === 'production',
            domain: '.your-domain.com',
            path: '/'
        });
    });

    // 调用provider会话终结端点，由其处理自身会话Cookie清除
    const endSessionUrl = `${process.env.URL_AUTHORITY}/oidc/session/end?id_token_hint=${id_token}&post_logout_redirect_uri=${encodeURIComponent(redirect_uri)}`;
    res.redirect(endSessionUrl);
});

4. 完善rpInitiatedLogout功能配置 #

确保rpInitiatedLogout不仅开启，还配置必要选项：

features: {
    rpInitiatedLogout: { 
        enabled: true,
        requireIdTokenHint: true, // 根据业务需求设置，默认可能为true
    },
    // 其他功能配置
}

若requireIdTokenHint为true，但传递的id_token_hint无效或过期，provider会跳过完整会话销毁流程，导致Cookie残留。

内容的提问来源于stack exchange，提问作者user1790300