Auth0：基于.NET 6的C#应用单点登出（SLO）实现问询

核心思路 #

绕开Auth0 JS库和后端通道，直接通过构造Auth0登出授权URL+本地会话清理的方式实现SLO，核心是让用户浏览器跳转到Auth0的登出端点，同时清理自身应用的本地认证会话。

具体实现步骤 #

1. 构建登出流程（后端生成Auth0登出URL）

在.NET 6的Controller/PageModel中实现登出接口，先清理本地会话，再跳转至Auth0的登出端点：

using Microsoft.AspNetCore.Authentication.Cookies;
using Microsoft.AspNetCore.Mvc;

public class AccountController : Controller
{
    private readonly IConfiguration _configuration;

    public AccountController(IConfiguration configuration)
    {
        _configuration = configuration;
    }

    public async Task<IActionResult> Logout()
    {
        // 清理.NET应用本地的Cookie会话
        await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);

        // 构造Auth0登出URL
        var auth0Domain = _configuration["Auth0:Domain"];
        var clientId = _configuration["Auth0:ClientId"];
        // 返回URL必须是Auth0控制台配置的Allowed Logout URLs
        var returnToUrl = Url.Action("Index", "Home", null, Request.Scheme);
        
        var logoutUrl = $"https://{auth0Domain}/v2/logout?" +
                        $"client_id={clientId}&" +
                        $"returnTo={Uri.EscapeDataString(returnToUrl)}&" +
                        $"logout=true";

        // 跳转到Auth0完成全局登出
        return Redirect(logoutUrl);
    }
}

2. 前端触发登出

在视图中添加登出按钮，直接指向上述接口：

<a asp-controller="Account" asp-action="Logout">登出</a>

3. 关键配置检查

• 确保returnToUrl对应的地址已经在Auth0控制台的Applications > 你的应用 > Settings > Allowed Logout URLs中添加，否则Auth0会拒绝跳转。
• 确认.NET应用的认证配置中，Cookie认证已启用（通常在Program.cs中配置）：

builder.Services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie()
.AddOpenIdConnect(options =>
{
    options.Authority = $"https://{builder.Configuration["Auth0:Domain"]}";
    options.ClientId = builder.Configuration["Auth0:ClientId"];
    // 其他OIDC配置...
});

4. 多应用SLO补充（如果涉及多个应用）

如果有多个基于Auth0的应用需要同步登出：

• 主应用登出后，在returnTo页面可以通过iframe加载其他应用的登出接口，触发各自的本地会话清理。
• 注意：跨域场景下iframe可能受浏览器同源策略限制，此时只能确保Auth0端的全局会话被清除，各应用需单独处理用户访问时的身份验证（比如跳转至Auth0重新登录）。

内容的提问来源于stack exchange，提问作者spalMcc