Azure AD登出后无法重新登录问题（MVC5.NET C#）

核心问题 #

你的问题集中在三个关键环节：

• Home/Index方法在未认证状态下提前访问Claims，触发空引用异常中断认证流程
• 登出操作未彻底同步Azure AD会话与本地Cookie状态
• 认证回调后身份状态未正确同步至User.Identity

分步修复 #

1. 修正Home/Index方法逻辑 #

原代码在未认证时直接读取Claims会抛出异常，导致认证回调后的Cookie写入流程失败。调整逻辑，优先判断认证状态：

public ActionResult Index()
{
    // 先判断认证状态，避免未认证时访问Claims报错
    if (User.Identity.IsAuthenticated)
    {
        var claimsIdentity = User.Identity as ClaimsIdentity;
        var name = claimsIdentity?.Claims.FirstOrDefault(c => c.Type == ClaimTypes.Name)?.Value;
        
        if (!string.IsNullOrEmpty(name))
        {
            HttpContext.Session["UserID"] = name;
        }

        if (User.IsInRole("some role"))
        {
            return RedirectToAction("Index", "Admin");
        }
        else
        {
            return RedirectToAction("Index", "User");
        }
    }
    else
    {
        // 未认证时发起Azure AD认证流程
        HttpContext.GetOwinContext().Authentication.Challenge(
            new AuthenticationProperties { RedirectUri = redirectUri },
            OpenIdConnectAuthenticationDefaults.AuthenticationType
        );
    }

    return new EmptyResult();
}

2. 完善Logout方法的登出逻辑 #

原登出操作未指定PostLogoutRedirectUri，导致Azure AD登出后无法同步本地状态，需强制清理Cookie并明确跳转地址：

public void Logout()
{
    // 清除Session数据
    HttpContext.Session.Clear();
    HttpContext.Session.Abandon();

    // 强制过期认证Cookie
    var authCookie = new HttpCookie(".AspNet.Cookies");
    authCookie.Expires = DateTime.Now.AddDays(-1);
    Response.Cookies.Add(authCookie);

    // 发起Azure AD登出并指定跳转地址
    var authProperties = new AuthenticationProperties
    {
        RedirectUri = postLogoutRedirectUri
    };

    HttpContext.GetOwinContext().Authentication.SignOut(
        authProperties,
        OpenIdConnectAuthenticationDefaults.AuthenticationType,
        CookieAuthenticationDefaults.AuthenticationType
    );
}

3. 优化Startup配置 #

确保Cookie认证与OpenID Connect配置协同工作，添加Token保存策略与Cookie过期规则：

public void Configuration(IAppBuilder app)
{
    app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);

    app.UseCookieAuthentication(new CookieAuthenticationOptions
    {
        ExpireTimeSpan = TimeSpan.FromHours(8),
        SlidingExpiration = true,
        CookieManager = new SystemWebCookieManager()
    });

    app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
    {
        ClientId = clientId,
        RedirectUri = redirectUri,
        PostLogoutRedirectUri = postLogoutRedirectUri,
        ResponseType = "code id_token",
        Scope = "openid profile",
        TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = false,
            SaveSigninToken = true // 保存登录Token，确保身份状态同步
        },
        MetadataAddress = metadataAddress,
        CookieManager = new SystemWebCookieManager(),
        // 添加认证成功回调，确保身份正确写入
        Notifications = new OpenIdConnectAuthenticationNotifications
        {
            SecurityTokenValidated = n => Task.FromResult(0)
        }
    });
}

额外注意事项 #

• 确认Azure AD应用注册中的重定向URI和登出重定向URI与代码中redirectUri、postLogoutRedirectUri完全一致（包含HTTP/HTTPS协议）
• 测试时使用浏览器隐私模式，避免原有缓存干扰
• 排查是否存在自定义授权过滤器等中间件干扰认证流程

内容的提问来源于stack exchange，提问作者Sofiia