基于OpenID的SSO登录后无法完成登出的问题排查

针对你遇到的登出无法生效的问题，主要是以下几个可能的遗漏点及修复方案：

1. 确保Azure AD应用注册中配置了正确的PostLogoutRedirectUri #

Azure AD会验证登出后的重定向地址是否在允许列表中，必须在应用注册的认证页面里，将https://localhost/PALMS-8.1/添加到Post logout redirect URIs列表中，否则Azure会拒绝重定向请求，导致登出流程失败。

2. 补充OpenIdConnect中间件的登出通知处理 #

在StartupAuth.cs的OpenIdConnectAuthenticationOptions中，添加RedirectToIdentityProviderForSignOut通知，确保登出时将PostLogoutRedirectUri正确传递给Azure AD：

app.UseOpenIdConnectAuthentication(
    new OpenIdConnectAuthenticationOptions
    {
        ProtocolValidator = new CustomOpenIdConnectProtocolValidator(false),
        ClientId = clientId,
        Authority = authority,
        PostLogoutRedirectUri = postLogoutRedirectUri,
        RedirectUri = postLogoutRedirectUri, // 配置登录后的重定向地址，需与Azure中注册的一致

        Notifications = new OpenIdConnectAuthenticationNotifications()
        {
            AuthenticationFailed = (context) =>
            {
                return System.Threading.Tasks.Task.FromResult(0);
            },
            // 处理登出时的重定向参数
            RedirectToIdentityProviderForSignOut = (context) =>
            {
                context.ProtocolMessage.PostLogoutRedirectUri = postLogoutRedirectUri;
                return Task.FromResult(0);
            }
        }
    }
);

3. 调整登出代码的执行逻辑 #

确保登出操作同时触发本地Cookie清除和Azure AD的全局登出流程，修改后的登出代码如下：

var postLogoutRedirectUri = "https://localhost/PALMS-8.1/";
var authProps = new AuthenticationProperties { RedirectUri = postLogoutRedirectUri };

// 先清除本地认证Cookie
HttpContext.Current.GetOwinContext().Authentication.SignOut(authProps, CookieAuthenticationDefaults.AuthenticationType);
// 触发Azure AD的全局登出流程
HttpContext.Current.GetOwinContext().Authentication.SignOut(authProps, OpenIdConnectAuthenticationDefaults.AuthenticationType);

额外排查点 #

• 检查当前站点域名与重定向地址是否一致：如果当前站点使用了特定端口（如https://localhost:44300），需确保PostLogoutRedirectUri的端口也匹配，或者在Azure中注册对应的完整地址。
• 确认authority参数是否正确：必须是Azure AD的正确租户端点（如https://login.microsoftonline.com/your-tenant-id），避免因地址错误导致登出请求无法到达Azure AD。

内容的提问来源于stack exchange，提问作者Rahul Sharma