ASP.NET MVC 4.8应用Azure AD登出后无法重新登录问题

核心问题分析 #

登出后无法重新登录且必须重启调试器才能恢复，说明服务器端的认证会话未正确清理，或OIDC中间件与Azure AD的端点/会话处理存在冲突。结合代码来看，问题集中在登出逻辑不完整、OIDC配置的端点一致性不足，以及认证类型的SignOut覆盖不全。

具体修复步骤 #

1. 修正Startup.cs中的OIDC配置 #

端点一致性（v2版本匹配）

你的登出URL使用了Azure AD v2.0端点，但Authority未指定v2.0，导致v1和v2端点混用引发会话冲突：

// 修改Authority为v2.0端点
Authority = $"{ConfigurationManager.AppSettings["azure:Instance"]}{ConfigurationManager.AppSettings["azure:TenantId"]}/v2.0",

调整认证流与参数

如果使用推荐的Authorization Code Flow（生产环境首选），修正ResponseType并补充验证参数：

ResponseType = OpenIdConnectResponseType.CodeIdToken, // 替换原IdToken，启用授权码流
Scope = OpenIdConnectScope.OpenIdProfile + " email", // 添加email scope确保获取邮箱声明
TokenValidationParameters = new TokenValidationParameters
{
    ValidateIssuer = true,
    // 指定有效的Issuer，避免验证失败
    ValidIssuers = new[] 
    {
        $"https://login.microsoftonline.com/{ConfigurationManager.AppSettings["azure:TenantId"]}/v2.0",
        $"https://login.microsoftonline.com/{ConfigurationManager.AppSettings["azure:TenantId"]}/"
    }
},

注：若坚持使用隐式流（不推荐生产环境），请移除ClientSecret配置，因为隐式流不需要客户端密钥。

2. 修复登出逻辑（完整清理认证会话） #

当前登出代码未覆盖OIDC认证类型的SignOut，导致服务器端残留认证状态，需补充OpenIdConnect的认证类型，并优化Cookie清理方式：

public ActionResult Signout()
{
    try
    {
        // 清理所有相关的认证会话：Cookie认证 + OIDC认证
        HttpContext.GetOwinContext().Authentication.SignOut(
            CookieAuthenticationDefaults.AuthenticationType,
            OpenIdConnectDefaults.AuthenticationType);
        
        Session.Abandon();

        // 对PostLogoutRedirectUri进行URL编码，避免参数解析错误
        var encodedPostLogoutUri = HttpUtility.UrlEncode(ConfigurationManager.AppSettings["azure:PostLogoutRedirectUri"]);
        var logoutUrl = $"{ConfigurationManager.AppSettings["azure:Instance"]}{ConfigurationManager.AppSettings["azure:TenantId"]}/oauth2/v2.0/logout?post_logout_redirect_uri={encodedPostLogoutUri}";

        return Redirect(logoutUrl);
    }
    catch (Exception ex)
    {
        // 保留你的错误处理逻辑
    }
}

注：无需手动删除blargh cookie，SignOut(CookieAuthenticationDefaults.AuthenticationType)会自动处理你配置的自定义Cookie。

3. 验证Azure AD应用注册配置 #

确保以下配置正确：

• Redirect URIs：包含你配置的azure:RedirectUri和azure:PostLogoutRedirectUri（v2端点下，PostLogoutRedirectUri需添加到Redirect URIs列表）
• Logout URL：在应用注册的「Authentication」->「Logout URL」中填写你的azure:PostLogoutRedirectUri
• API权限：确保已添加OpenID、Profile、Email等必要权限（租户应用需完成管理员同意）

4. 调试与日志排查 #

若问题仍存在，开启详细日志定位错误：
在Startup.cs的Configuration方法中添加日志输出：

public void Configuration(IAppBuilder app)
{
    IdentityModelEventSource.ShowPII = true;
    ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;

    // 开启OIDC中间件日志
    app.Use(async (context, next) =>
    {
        var logger = context.GetLogger<OpenIdConnectAuthenticationMiddleware>();
        logger.LogInformation($"OIDC Request Path: {context.Request.Path}");
        await next();
    });

    ConfigureAuth(app);
}

查看调试日志中的错误信息，重点关注OIDC回调阶段的异常（如token验证失败、会话状态不匹配等）。

为什么之前的操作无效？ #

• 手动删除Cookie仅清理了客户端状态，但服务器端的OIDC认证会话未通过SignOut(OpenIdConnectDefaults.AuthenticationType)清理，导致中间件认为用户仍处于登录状态
• 端点版本不匹配（v1 Authority + v2 Logout URL）引发Azure AD会话与应用端会话的冲突
• 未对PostLogoutRedirectUri编码可能导致重定向失败，残留无效会话状态

内容的提问来源于stack exchange，提问作者C0res4w