ASP.NET Core 7 MVC切换账号登录时OIDC关联Cookie缺失求助

以下是针对问题的具体解决方案，按优先级尝试：

1. 完善注销流程，确保清除所有相关Cookie #

注销时需同时清除本地认证Cookie并触发Microsoft Entra ID的注销，避免残留状态干扰后续登录：

// 在AccountController中添加注销动作
public async Task<IActionResult> Logout()
{
    // 清除本地Cookie认证
    await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
    // 触发Entra ID的注销流程
    await HttpContext.SignOutAsync(OpenIdConnectDefaults.AuthenticationScheme);
    
    return RedirectToAction("Index", "Home");
}

同时优化OIDC配置，增强Cookie管理：

builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(options =>
    {
        builder.Configuration.GetSection("AzureAd").Bind(options);
        
        options.Events.OnSignedOutCallbackRedirect = context =>
        {
            var redirectUrl = builder.Configuration["AppSettings:SSOAfterSignOutRedirectUrl"] ?? "/Account/AfterSignOut";
            // 清除残留的关联和随机数Cookie
            context.Response.Cookies.Delete($".AspNetCore.Correlation.{options.CorrelationCookie.Name}");
            context.Response.Cookies.Delete($".AspNetCore.Nonce.{options.NonceCookie.Name}");
            
            context.Response.Redirect(redirectUrl);
            context.HandleResponse();
            return Task.CompletedTask;
        };
        
        // 配置关联Cookie属性
        options.CorrelationCookie = new CookieBuilder
        {
            SameSite = SameSiteMode.Lax,
            HttpOnly = true,
            Secure = CookieSecurePolicy.Always, // 生产环境启用，本地调试可改为CookieSecurePolicy.SameAsRequest
            Path = "/",
            Expiration = TimeSpan.FromMinutes(5)
        };
        
        // 配置随机数Cookie属性
        options.NonceCookie = new CookieBuilder
        {
            SameSite = SameSiteMode.Lax,
            HttpOnly = true,
            Secure = CookieSecurePolicy.Always,
            Path = "/",
            Expiration = TimeSpan.FromMinutes(5)
        };
    })
    .AddCookie(); // 显式绑定Cookie认证方案

2. 确保注销后跳转页面允许匿名访问 #

如果注销后的跳转页面带有[Authorize]属性，会自动触发登录流程，此时关联Cookie尚未生成，直接导致验证失败。需给目标页面添加[AllowAnonymous]：

[AllowAnonymous]
public IActionResult AfterSignOut()
{
    return View();
}

3. 检查中间件顺序 #

确保Session中间件在认证中间件之前执行，避免Session状态干扰Cookie生成逻辑：

// Program.cs中的中间件顺序
app.UseSession(); // 先启用Session
app.UseAuthentication();
app.UseAuthorization();

app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");

补充说明 #

关联Cookie是登录请求发起时临时生成的，登录完成后会自动清除，因此登录后看不到该Cookie属于正常现象。错误仅在注销后切换账号时出现，核心原因是注销流程未完全清理状态，导致后续登录请求的关联验证失败。

内容的提问来源于stack exchange，提问作者Saqib