使用Duende Identity Server能否弃用认证Cookie，仅做验证与令牌处理？

完全可以实现你的需求——让Duende Identity Server仅负责身份验证和令牌发放，不保留用户的登录会话Cookie。以下是具体的实现步骤和配置细节：

1. 调整Identity Server的登录Cookie配置，禁用持久化并缩短有效期 #

在Identity Server的Startup/Program.cs中，修改Cookie认证的配置，将其设置为会话级Cookie（浏览器关闭即失效），并禁用持久化：

services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
})
.AddCookie(options =>
{
    // 设置Cookie有效期为极短时间，仅够完成授权流程
    options.ExpireTimeSpan = TimeSpan.FromMinutes(1);
    options.SlidingExpiration = false;
    // 禁用持久化Cookie，避免浏览器保存
    options.Cookie.IsEssential = true;
    options.Cookie.HttpOnly = true;
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    options.Cookie.SameSite = SameSiteMode.None;
    // 可选：设置Cookie名称，便于区分其他业务Cookie
    options.Cookie.Name = "IdentityServer.TempLogin";
});

2. 授权流程完成后立即清除登录Cookie #

在处理登录回调的AccountController中，完成令牌生成和授权响应后，立即登出当前用户，清除登录Cookie：

public async Task<IActionResult> Callback()
{
    // 处理授权码验证、令牌生成逻辑
    var authResult = await HttpContext.AuthenticateAsync();
    if (!authResult.Succeeded)
    {
        return BadRequest("Authentication failed");
    }

    // 生成并返回授权码/令牌响应（按原有逻辑）
    var response = await _interaction.GetAuthorizationContextAsync(authResult.Properties.Items["returnUrl"]);
    // ... 令牌生成代码 ...

    // 核心步骤：清除登录会话Cookie
    await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);

    // 重定向回客户端
    return Redirect(response.RedirectUri);
}

3. 客户端请求时强制触发重新登录 #

让你的浏览器扩展和移动应用在发起授权请求时，添加prompt=login参数，强制Identity Server跳过现有会话（即使有残留Cookie），直接显示登录界面：

// 浏览器扩展中的授权请求示例
const authorizeUrl = `${identityServerBaseUrl}/connect/authorize?
client_id=your_client_id&
redirect_uri=${encodeURIComponent(yourRedirectUri)}&
response_type=code&
scope=openid profile your_api_scope&
prompt=login`;

// 跳转到登录页
chrome.identity.launchWebAuthFlow({url: authorizeUrl, interactive: true}, (responseUrl) => {
    // 处理授权码回调
});

4. 外部登录提供商的Cookie处理 #

如果使用了外部登录（如Google、Azure AD），在外部登录回调完成后，同样需要清除Identity Server的登录Cookie：

public async Task<IActionResult> ExternalLoginCallback()
{
    var info = await _signInManager.GetExternalLoginInfoAsync();
    var signInResult = await _signInManager.ExternalLoginSignInAsync(
        info.LoginProvider, 
        info.ProviderKey, 
        isPersistent: false // 禁用持久化登录
    );

    if (signInResult.Succeeded)
    {
        // 完成外部登录后的授权逻辑
        var response = await _interaction.GetAuthorizationContextAsync(Request.Query["returnUrl"]);
        // ... 令牌生成代码 ...

        // 清除登录Cookie
        await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
        return Redirect(response.RedirectUri);
    }

    return RedirectToAction("Login");
}

5. 账户操作页面的强制登录逻辑 #

对于Identity Server上的账户操作页面（如个人信息修改），添加逻辑：如果检测到用户已通过Cookie登录，先强制登出，再引导用户重新登录目标账户：

[Authorize]
public async Task<IActionResult> ManageAccount()
{
    // 清除现有登录会话
    await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
    // 重定向到登录页，携带返回URL
    return RedirectToAction("Login", new { returnUrl = Url.Action("ManageAccount") });
}

注意事项 #

• prompt=login参数会强制用户每次授权都输入凭证，虽然牺牲了一点便捷性，但完全匹配你多身份切换的需求；
• 会话Cookie的有效期设置要足够完成授权流程，但又不能太长，避免残留会话带来的安全风险；
• 如果需要彻底清除外部登录提供商的会话（如Google的登录状态），可以在登出时调用对应提供商的登出接口，但这一步不是必须的，取决于你的安全要求。

内容的提问来源于stack exchange，提问作者Merijn