IdentityServer4：在授权流程中失效或注销Cookie身份

1. 自定义授权交互响应生成器（推荐方案） #

IdentityServer4（IS4）的IAuthorizeInteractionResponseGenerator负责处理授权请求的交互逻辑，你可以通过实现这个接口注入自定义校验逻辑，替代默认的错误返回行为：

• 创建自定义实现类，继承默认的AuthorizeInteractionResponseGenerator：

public class CustomAuthorizeInteractionResponseGenerator : AuthorizeInteractionResponseGenerator
{
    private readonly IHttpContextAccessor _httpContextAccessor;
    private readonly SignInManager<IdentityUser> _signInManager;

    public CustomAuthorizeInteractionResponseGenerator(
        IHttpContextAccessor httpContextAccessor,
        SignInManager<IdentityUser> signInManager,
        ILogger<AuthorizeInteractionResponseGenerator> logger,
        IConsentService consentService,
        IProfileService profileService)
        : base(logger, consentService, profileService)
    {
        _httpContextAccessor = httpContextAccessor;
        _signInManager = signInManager;
    }

    public override async Task<InteractionResponse> ProcessInteractionAsync(ValidatedAuthorizeRequest request, ConsentResponse consent = null)
    {
        // 检查用户是否已通过IS4身份Cookie登录
        if (request.Subject.Identity.IsAuthenticated)
        {
            // 替换为你的特定校验逻辑（比如检查ACR值、用户属性等）
            bool needInvalidate = await CheckIfCookieNeedsInvalidation(request.Subject);

            if (needInvalidate)
            {
                // 注销IS4身份Cookie
                await _signInManager.SignOutAsync();
                
                // 清除授权请求缓存，避免后续冲突
                await _httpContextAccessor.HttpContext.Session.RemoveAsync($"idsrv:authorization:{request.ClientId}:{request.Id}");

                // 重定向回授权端点，携带原请求参数，触发重新登录流程
                return new InteractionResponse
                {
                    RedirectUrl = $"/connect/authorize?{request.Raw.Serialize()}"
                };
            }
        }

        // 校验通过，执行默认授权逻辑
        return await base.ProcessInteractionAsync(request, consent);
    }

    // 自定义校验方法，根据业务需求实现
    private async Task<bool> CheckIfCookieNeedsInvalidation(ClaimsPrincipal subject)
    {
        // 示例：检查用户ACR值是否符合预期
        var currentAcr = subject.FindFirst("acr")?.Value;
        return string.IsNullOrEmpty(currentAcr) || currentAcr != "your-required-acr-value";
    }
}

• 在IS4的Startup.cs中注册该自定义服务，替换默认实现：

services.AddScoped<IAuthorizeInteractionResponseGenerator, CustomAuthorizeInteractionResponseGenerator>();

2. 登录页直接处理（适合简单场景） #

如果你的IS4使用自定义登录页，可以在登录页的Get动作中添加校验逻辑：

public async Task<IActionResult> Login(string returnUrl)
{
    // 检查用户是否已通过Cookie登录
    if (User.Identity.IsAuthenticated)
    {
        bool needInvalidate = await CheckIfCookieNeedsInvalidation(User);
        
        if (needInvalidate)
        {
            // 注销IS4身份Cookie
            await _signInManager.SignOutAsync();
            
            // 重定向回登录页，保留原返回地址
            return RedirectToAction(nameof(Login), new { returnUrl });
        }

        // 校验通过，直接跳转回客户端
        return Redirect(returnUrl);
    }

    // 未登录，展示登录界面
    return View();
}

关键注意事项 #

• 必须使用IS4的SignInManager.SignOutAsync()执行注销，确保清除IS4的身份Cookie（默认名称为.AspNetCore.Identity.Application）。
• 重定向时要保留原授权请求的所有参数（如returnUrl、client_id、acr_values等），避免丢失认证上下文。
• 不要在IProfileService.IsActiveAsync中返回false，该逻辑会直接触发错误响应，无法实现重新登录的需求。

内容的提问来源于stack exchange，提问作者Marlon