ASP.NET Core MVC：如何在Cookie中存储认证方式以适配登出

核心问题 #

你在OnTokenValidated事件中添加的AuthenticationMethod声明，并没有被保存到最终的登录Cookie里。原因是：

• 外部认证（如Microsoft Entra）返回的ClaimsPrincipal只是临时对象，当调用ExternalLoginSignInAsync时，ASP.NET Core Identity的SignInManager会重新从用户存储（数据库）加载用户的Claims，生成新的ClaimsPrincipal并写入Cookie，之前在外部认证流程中添加的临时声明会被直接丢弃。

可行解决方案 #

方案一：将认证方式声明持久化到用户Claims中（推荐，适配多会话场景） #

在外部登录回调成功后，把认证方式添加到用户的持久化Claims集合里，这样每次登录都会自动包含该声明：

var info = await _signInManager.GetExternalLoginInfoAsync();
if (info == null)
{
    return RedirectToAction(nameof(Login));
}

var result = await _signInManager.ExternalLoginSignInAsync(info.LoginProvider, info.ProviderKey, isPersistent: false, bypassTwoFactor: true);

if (result.Succeeded)
{
    var user = await _userManager.GetUserAsync(User);
    if (user != null)
    {
        // 检查用户是否已有认证方式声明，避免重复添加
        var existingClaim = await _userManager.GetClaimAsync(user, ClaimTypes.AuthenticationMethod);
        if (existingClaim == null)
        {
            await _userManager.AddClaimAsync(user, new Claim(ClaimTypes.AuthenticationMethod, info.LoginProvider));
        }
        // 若需支持用户切换认证方式，可添加更新逻辑：
        // else if (existingClaim.Value != info.LoginProvider)
        // {
        //     await _userManager.ReplaceClaimAsync(user, existingClaim, new Claim(ClaimTypes.AuthenticationMethod, info.LoginProvider));
        // }
    }
    // 后续跳转逻辑
}

方案二：登录时动态添加声明（仅当前会话有效） #

不使用ExternalLoginSignInAsync，手动构建包含额外声明的ClaimsPrincipal并完成登录：

var info = await _signInManager.GetExternalLoginInfoAsync();
if (info == null)
{
    return RedirectToAction(nameof(Login));
}

var user = await _userManager.FindByLoginAsync(info.LoginProvider, info.ProviderKey);
if (user != null)
{
    // 获取用户已有Claims
    var userClaims = await _userManager.GetClaimsAsync(user);
    // 添加认证方式声明
    userClaims.Add(new Claim(ClaimTypes.AuthenticationMethod, info.LoginProvider));
    
    // 创建身份标识并登录
    var identity = new ClaimsIdentity(userClaims, CookieAuthenticationDefaults.AuthenticationScheme);
    var principal = new ClaimsPrincipal(identity);
    
    await _signInManager.SignInAsync(user, isPersistent: false, info.LoginProvider);
    return RedirectToAction("Index", "Home");
}

方案三：通过Cookie认证事件动态添加声明 #

在Cookie认证的OnSigningIn事件中，根据登录来源添加声明，这种方式不需要修改回调逻辑：

services.AddAuthentication()
    .AddCookie(options =>
    {
        options.Events.OnSigningIn = async context =>
        {
            // 从外部登录信息中获取登录提供商
            var externalLoginInfo = await context.HttpContext.RequestServices
                .GetRequiredService<SignInManager<IdentityUser>>()
                .GetExternalLoginInfoAsync();
            
            if (externalLoginInfo != null)
            {
                var claimsIdentity = context.Principal.Identity as ClaimsIdentity;
                claimsIdentity?.AddClaim(new Claim(ClaimTypes.AuthenticationMethod, externalLoginInfo.LoginProvider));
            }
            await Task.CompletedTask;
        };
    })
    .AddMicrosoftIdentityWebApp(options =>
    {
        // 你的Entra配置
        options.Instance = "https://login.microsoftonline.com";
        options.TenantId = "common";
        options.ClientId = "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";
        options.ClientSecret = "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";
        options.Scope.Add("email");
    }, openIdConnectScheme: "Microsoft", cookieScheme: CookieAuthenticationDefaults.AuthenticationScheme);

登出逻辑优化 #

无需手动拼接Entra的登出URL，直接调用SignOutAsync并指定对应的认证Scheme即可：

// 先登出本地Cookie
await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
// 再登出外部提供商（Microsoft Entra）
await HttpContext.SignOutAsync("Microsoft");

ASP.NET Core会自动处理外部提供商的登出跳转，比手动拼接URL更可靠，也便于未来扩展其他认证方式。

内容的提问来源于stack exchange，提问作者Fred