Blazor Server用户登出后无需重登即可访问系统的问题求助

问题根源 #

你的问题出在：仅调用AzureAD的登出端点只会清理AzureAD的会话，但Blazor Server基于SignalR的持久连接仍保留着服务器端的用户认证状态，同时客户端的本地认证Cookie也未被清理，导致用户不关闭浏览器就能直接访问应用。

解决方案步骤 #

1. 完善AzureAD认证配置，添加登出回调清理本地会话 #

修改Program.cs中的认证配置，确保登出时同时清理ASP.NET Core的本地认证Cookie：

using Microsoft.AspNetCore.Authentication.Cookies;

builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(builder.Configuration.GetSection("AzureAd"), options =>
    {
        // 处理登出后的回调，清理本地Cookie并重定向
        options.Events.OnSignedOutCallbackRedirect = context =>
        {
            // 清理本地认证Cookie
            context.HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
            // 重定向到自定义登出完成页
            context.Response.Redirect("/SignedOut");
            context.HandleResponse();
            return Task.CompletedTask;
        };
    });

2. 创建服务器端登出端点，处理会话清理与连接终止 #

在Program.cs的端点配置中添加一个API端点，用于清理服务器端会话并触发登出流程：

app.MapGet("/api/signout", async (HttpContext context) =>
{
    // 同时清理Cookie认证和OpenID Connect会话
    await context.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
    await context.SignOutAsync(OpenIdConnectDefaults.AuthenticationScheme);
    
    // 发送响应头通知Blazor客户端断开SignalR连接
    context.Response.Headers.Append("Blazor-Connection-Close", "true");
    
    // 重定向到AzureAD登出页面
    context.Response.Redirect("/MicrosoftIdentity/Account/SignOut");
});

3. 修改Blazor组件的登出逻辑，确保端到端清理 #

在你的Blazor登出组件中，调用服务器端登出接口并强制刷新页面，彻底终止SignalR连接：

@inject NavigationManager NavManager
@inject IJSRuntime JSRuntime

<button @onclick="PerformSignOut">登出</button>

@code {
    private async Task PerformSignOut()
    {
        // 调用服务器端登出接口
        await JSRuntime.InvokeVoidAsync("fetch", "/api/signout", new { method = "GET" });
        
        // 强制页面刷新，彻底断开SignalR连接并清理客户端状态
        await JSRuntime.InvokeVoidAsync("location.reload");
    }
}

4. 配置AzureAD应用的登出URL（必做） #

登录Azure门户，找到你的AD应用注册：

• 进入"认证"页面，设置"前端通道登出URL"为你的应用域名（如https://yourapp.com）
• 设置"注销URL"为你的登出完成页（如https://yourapp.com/SignedOut）
  这一步确保AzureAD登出时能同步清理客户端的会话缓存。

5. 实时检查认证状态（可选增强） #

在需要认证的页面，通过AuthenticationStateProvider实时检查用户状态，避免缓存的认证信息导致未授权访问：

@inject AuthenticationStateProvider AuthStateProvider

@code {
    protected override async Task OnInitializedAsync()
    {
        var authState = await AuthStateProvider.GetAuthenticationStateAsync();
        if (!authState.User.Identity.IsAuthenticated)
        {
            NavManager.NavigateTo("/Login", forceLoad: true);
        }
    }
}

验证效果 #

执行登出操作后：

1. 用户会被重定向到AzureAD登出页面
2. 本地认证Cookie被清理
3. SignalR连接被终止
4. 返回应用时会强制跳转到登录页，必须重新输入凭据才能访问

内容的提问来源于stack exchange，提问作者Chris