Azure AD前端注销URL在ASP.NET中SameSite Cookie配置及CSRF风险咨询

我正在为旧版Web Forms ASP.NET应用集成Azure AD，在使用应用注册中的Front-channel logout URL实现单点注销时遇到问题：默认情况下该功能无法正常工作，原因是Azure AD通过iframe加载注销请求，导致请求中未携带身份验证Cookie，无法关联到具体用户。

我找到一种解决方案，将身份验证Cookie的SameSite属性设为None后功能恢复正常——当用户从其他Azure AD应用注销时，本应用能完成用户注销并清除Cookie，对应的配置代码如下：

app.UseCookieAuthentication(new CookieAuthenticationOptions()
{ 
    CookieSameSite = Microsoft.Owin.SameSiteMode.None 
});

但我对此修复存在疑虑：

• 将SameSite设为None是否会因允许Cookie在任意请求中发送而引发CSRF攻击？
• 是否存在其他解决方案？或者能否在保持SameSite为Strict的前提下，允许login.microsoftonline.com发送本应用的身份验证Cookie？

SameSite=None的CSRF风险说明 #

把SameSite设为None确实会让Cookie在跨站请求中被发送，但只要做好以下两点，就能有效降低风险：

1. 开启Cookie的Secure属性，强制Cookie仅通过HTTPS传输，避免明文泄露；
2. 保留ASP.NET Web Forms自带的CSRF防护机制（比如ViewStateUserKey、AntiForgeryToken），同时后端处理注销请求时，必须严格验证Azure AD发送的logout_token有效性，不能仅靠Cookie判断用户身份。

Azure AD的Front-channel注销请求本身是带身份令牌的，只要你验证这个令牌的签名、受众、过期时间等信息，就能确保请求是合法的，不会被恶意伪造。

保持SameSite=Strict的替代方案 #

没办法在保持SameSite=Strict的前提下让login.microsoftonline.com的iframe请求携带你的应用Cookie——因为Strict模式下，Cookie只会在同站请求中发送，而login.microsoftonline.com和你的应用属于完全不同的站点，跨站iframe请求根本不会带上Strict模式的Cookie。

如果你想维持SameSite=Strict的安全配置，可以改用Back-channel注销：

• Back-channel注销是Azure AD直接向你的应用后端发起注销请求（不走用户浏览器的iframe），请求中会携带合法的JWT令牌，你只需要验证这个令牌就能确认用户身份，然后完成注销操作；
• 这种方式完全不依赖用户浏览器的Cookie，自然不需要修改SameSite属性，安全性更高。

若坚持使用Front-channel注销的注意事项 #

如果你必须用Front-channel注销并设置SameSite=None，一定要做到：

• 确保Cookie的Secure属性设为true，绝对禁止在HTTP环境下使用；
• 应用必须部署在HTTPS环境中（浏览器会忽略HTTP下的SameSite=None配置）；
• 后端对Azure AD发送的logout_token做严格校验，包括签名、issuer、audience、过期时间等，确认请求合法后再执行注销操作。

内容的提问来源于stack exchange，提问作者n4esa