ASP.NET Core应用中如何阻止Azure AD自动登录用户？

1. 完善注销流程，触发Azure AD端会话清除 #

仅清除本地Cookie无法彻底终止Azure AD端的用户会话，需要在注销时主动调用Azure AD的注销端点：

public async Task Logout()
{
    // 清除应用本地认证Cookie
    await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
    // 触发Azure AD注销，指定注销后跳转回应用登录页
    await HttpContext.SignOutAsync(OpenIdConnectDefaults.AuthenticationScheme, new AuthenticationProperties
    {
        RedirectUri = "/account/login"
    });
}

此操作会引导用户到Azure AD的注销页面，清除其在AD端的会话Cookie，避免后续自动登录。

2. 登录请求强制添加账号选择参数 #

在OpenID Connect配置中，强制每次登录都显示账号选择界面，跳过自动登录逻辑：

services.AddOpenIdConnect(options =>
{
    // 保留原有配置...
    options.Events = new OpenIdConnectEvents
    {
        OnRedirectToIdentityProvider = context =>
        {
            // 强制要求用户选择账号，禁用自动登录
            context.ProtocolMessage.Prompt = "select_account";
            return Task.CompletedTask;
        }
    };
});

prompt=select_account参数会告知Azure AD必须让用户手动选择或输入账号，不会复用现有会话。

3. 检查Azure AD应用配置 #

• 确认注销URL配置正确：在Azure门户的应用注册→身份验证中，添加与代码中RedirectUri一致的注销回调地址（如https://你的应用域名/account/login）。
• 检查会话设置：在应用注册→令牌配置中，避免设置过长的会话有效期，关闭不必要的持久会话选项。

4. 验证浏览器Cookie清理情况 #

手动检查浏览器Cookie：

• 访问https://login.microsoftonline.com，查看是否存在ESTSAUTH、ESTSAUTHPERSISTENT等Azure AD会话Cookie，若存在则手动删除后测试。
• 确认应用自身的认证Cookie（如.AspNetCore.Cookies）已被代码正确清除。

内容的提问来源于stack exchange，提问作者Thomas