ASP.NET Core自定义认证：如何/何处调用SignOutAsync实现可靠登出？

你的方案可行性分析 #

你提出的将登出路径指向MVC控制器，执行SignOutAsync后重定向到登出页的方案是完全可行且更优的，能直接解决当前的两个核心问题：

• 控制器中执行SignOutAsync时，会在响应头中添加清除Cookie的指令，重定向后的登出页请求已经不带认证Cookie，页面渲染时可以正确识别用户已登出状态，避免显示错误的登录信息。
• 重定向到登出页后，页面可以直接通过User.Identity.IsAuthenticated判断用户状态，此时的结果是可靠的，能放心展示“您已登出”这类提示。

可靠登出的标准实现模式 #

在ASP.NET Core中，可靠登出有两种常用标准模式，都能规避你遇到的问题：

1. 控制器+重定向模式（推荐用于需要登出后展示提示页的场景） #

实现步骤：

• 新增Auth控制器，添加登出动作：

public class AuthController : Controller
{
    public async Task<IActionResult> Logout()
    {
        // 执行登出操作，清除认证Cookie
        await HttpContext.SignOutAsync(LightweightAuthDefaults.AuthenticationScheme);
        // 重定向到登出提示页
        return RedirectToPage("/Account/LogoutSuccess");
    }
}

• 修改认证配置中的LogoutPath指向控制器动作：

options.LogoutPath = "/Auth/Logout";

• 单独创建LogoutSuccess.cshtml Razor页面，直接判断用户状态并展示提示：

@page
@model LogoutSuccessModel
@{
    ViewData["Title"] = "登出成功";
}

<h1>@ViewData["Title"]</h1>
@if (!User.Identity.IsAuthenticated)
{
    <p>您已成功登出，感谢您的使用。</p>
}
else
{
    <p>登出过程出现异常，请重新尝试。</p>
}

2. Razor Pages异步Post处理+重定向（适合不想新增控制器的场景） #

如果不想新增控制器，也可以在Razor Pages中通过Post请求处理登出，再重定向回页面：

• 登出页添加表单提交：

@page
@model LogoutModel
@{
    ViewData["Title"] = "登出";
}

@if (User.Identity.IsAuthenticated)
{
    <form method="post" asp-page-handler="Logout">
        <button type="submit">确认登出</button>
    </form>
}
else
{
    <p>您已登出。</p>
}

• 在页面模型中添加Post处理方法：

public class LogoutModel : PageModel
{
    public async Task<IActionResult> OnPostLogoutAsync()
    {
        await HttpContext.SignOutAsync(LightweightAuthDefaults.AuthenticationScheme);
        // 重定向回当前页面，此时请求已无认证Cookie
        return RedirectToPage();
    }
}

用户点击登出按钮后，Post请求处理登出并清除Cookie，重定向回页面时就能正确显示登出状态。

关键注意点 #

• 禁止在Razor Pages的OnGet方法中执行SignOutAsync：页面渲染依赖当前请求的认证状态，而Cookie清除是在响应返回后生效，会导致渲染时状态不一致。
• 登出操作建议使用Post请求：避免浏览器预加载或恶意GET请求触发登出，提升安全性。

内容的提问来源于stack exchange，提问作者whatever