ASP.NET Core Identity中实现用户完全登出的正确方法

你的核心问题在于认证方案混淆以及JWT/Cookie认证的特性误解，以下是针对性的解决方案：

问题根源分析 #

1. 你在Program.cs中默认认证方案配置为JWT Bearer，但登录流程使用的是SignInManager.CheckPasswordSignInAsync（这是Cookie认证的验证方法），且登录代码仅验证密码，未实际生成认证Cookie。
2. 调用_signInManager.SignOutAsync()只会清除Cookie认证的会话，但如果客户端持有有效的JWT Token，依然可以通过JWT认证访问授权端点——因为JWT是无状态的，服务器不会主动存储或失效Token。

方案1：切换为纯Cookie认证（适合传统Web应用） #

如果你不需要前后端分离的JWT模式，可调整为纯Cookie认证：

1. 修改Program.cs的认证配置 #

将默认认证方案改为Cookie，并配置Cookie参数：

using Microsoft.AspNetCore.Authentication.Cookies;

// 替换原AddAuthentication代码
builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.Cookie.HttpOnly = true; // 防止XSS窃取
        options.ExpireTimeSpan = TimeSpan.FromMinutes(30); // Cookie有效期
        options.LoginPath = "/api/identity/login"; // 未认证时跳转的登录端点
        options.LogoutPath = "/api/identity/signout"; // 登出路径
        options.SlidingExpiration = true; // 活动时自动延长有效期
    });

2. 完善登录流程 #

验证密码后，调用SignInAsync生成认证Cookie：

var user = await _userManager.Users
    .Include(u => u.UserRoles).ThenInclude(r => r.Role)
    .SingleOrDefaultAsync(x => x.Email == request.EmailAddress);

if (user is null)
{
    // 处理用户不存在逻辑
}

var result = await _signInManager.CheckPasswordSignInAsync(user, request.Password, false);

if (!result.Succeeded)
{
    // 处理密码错误逻辑
}

// 关键：生成认证Cookie
await _signInManager.SignInAsync(user, isPersistent: false);

return user;

3. 登出逻辑保持不变 #

调用await _signInManager.SignOutAsync()即可清除Cookie，用户后续访问授权端点会被拒绝。

方案2：切换为纯JWT认证（适合前后端分离场景，如你的React前端） #

前后端分离场景下，JWT是更合适的选择，登出需要客户端配合+可选的服务器端黑名单机制：

1. 修改Program.cs的JWT配置 #

移除Cookie认证，完善JWT参数：

using System.Text;
using Microsoft.IdentityModel.Tokens;

// 替换原AddAuthentication代码
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = builder.Configuration["Jwt:Issuer"], // 从配置文件读取（需在appsettings.json中添加）
            ValidAudience = builder.Configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]))
        };
    });

同时在appsettings.json中添加JWT配置：

{
  "Jwt": {
    "Key": "你的安全密钥（至少16位）",
    "Issuer": "你的API域名",
    "Audience": "你的前端域名",
    "ExpireMinutes": 30
  }
}

2. 重写登录流程生成JWT Token #

替换原登录代码，验证密码后生成Token返回给客户端：

using System.IdentityModel.Tokens.Jwt;
using System.Security.Claims;
using System.Text;
using Microsoft.IdentityModel.Tokens;

var user = await _userManager.Users
    .Include(u => u.UserRoles).ThenInclude(r => r.Role)
    .SingleOrDefaultAsync(x => x.Email == request.EmailAddress);

if (user is null)
{
    // 处理用户不存在逻辑
}

var result = await _signInManager.CheckPasswordSignInAsync(user, request.Password, false);

if (!result.Succeeded)
{
    // 处理密码错误逻辑
}

// 构建用户声明
var claims = new List<Claim>
{
    new Claim(ClaimTypes.Email, user.Email),
    new Claim(ClaimTypes.NameIdentifier, user.Id.ToString())
};

// 添加用户角色
var roles = await _userManager.GetRolesAsync(user);
foreach (var role in roles)
{
    claims.Add(new Claim(ClaimTypes.Role, role));
}

// 生成Token
var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]));
var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);
var expireMinutes = int.Parse(builder.Configuration["Jwt:ExpireMinutes"]);

var token = new JwtSecurityToken(
    issuer: builder.Configuration["Jwt:Issuer"],
    audience: builder.Configuration["Jwt:Audience"],
    claims: claims,
    expires: DateTime.UtcNow.AddMinutes(expireMinutes),
    signingCredentials: creds);

// 返回Token给客户端
return new { Token = new JwtSecurityTokenHandler().WriteToken(token) };

3. 实现JWT登出逻辑 #

JWT是无状态的，登出需要两步：

1. 客户端销毁Token：前端收到登出请求成功的响应后，立即从localStorage/sessionStorage或Cookie中删除存储的JWT Token，后续请求不再携带Token，自然无法通过认证。
2. 服务器端强制失效（可选）：如果需要在服务器端强制失效Token（如用户改密、账号注销），可实现Token黑名单：
   • 用Redis或数据库存储已失效的Token及其过期时间
   • 添加JWT验证过滤器，每次认证时检查Token是否在黑名单中，若存在则拒绝访问

关键注意事项 #

• 不要同时混合JWT和Cookie认证，会导致逻辑混乱，根据你的场景选择一种即可
• 前后端分离场景优先选JWT，传统Web应用优先选Cookie认证
• 登出端点保留RequireAuthorization()是正确的，确保只有已认证用户能执行登出操作

内容的提问来源于stack exchange，提问作者PeterPazmandi