Android端Chrome复用旧Windows身份验证凭据问题求助

你的问题核心在于Windows身份验证（NTLM/Kerberos）的浏览器凭据缓存机制：安卓Chrome在重复登出登录操作后，没有及时丢弃旧的身份验证凭据，导致复用之前的用户信息；而调试环境因为本地域名的缓存策略差异，不会触发这个问题。

解决思路与具体操作 #

1. 强制浏览器重新发起身份验证请求
   仅返回401状态码不足以让安卓Chrome清除已缓存的Windows身份验证凭据，需要同时设置WWW-Authenticate响应头，明确要求浏览器重新进行挑战-响应流程：

if (!string.IsNullOrEmpty(userNameCookie.Value) && userName == userNameCookie.Value)
{
    // 添加身份验证挑战头，强制浏览器重新获取凭据
    filterContext.HttpContext.Response.Headers.Add("WWW-Authenticate", "Negotiate");
    filterContext.HttpContext.Response.Headers.Add("WWW-Authenticate", "NTLM");
    filterContext.Result = new StatusCodeResult(401);
}

2. 完善登出逻辑，彻底清理关联上下文
   登出时不仅要过期控制用的Cookie，还要确保响应头触发凭据重置：

public IActionResult Logout()
{
    // 过期控制Cookie
    Response.Cookies.Append("userNameCookie", "", new CookieOptions
    {
        Expires = DateTimeOffset.UtcNow.AddDays(-1),
        HttpOnly = true,
        Secure = true // 生产环境建议启用HTTPS并开启此选项
    });

    // 发送身份验证挑战头，强制浏览器丢弃旧凭据
    Response.Headers.Add("WWW-Authenticate", "Negotiate");
    Response.Headers.Add("WWW-Authenticate", "NTLM");

    return RedirectToAction("Index");
}

3. 针对安卓Chrome的额外优化
   安卓Chrome对后台标签页的会话复用机制可能加剧这个问题，可在登出后引导用户关闭当前标签页再重新打开，或者在页面中添加强制刷新的逻辑（比如用location.reload(true)跳过缓存刷新页面）。

补充说明 #

Windows身份验证的凭据缓存是浏览器层面的行为，无法通过后端直接清除，但通过返回带WWW-Authenticate头的401响应，可以强制浏览器放弃缓存的凭据，重新向用户索要登录信息。调试环境未出现问题，是因为浏览器对localhost等本地地址的身份验证缓存策略更宽松，不会长期保留凭据。

内容的提问来源于stack exchange，提问作者Birger