Laravel中Azure AD认证登出后会话仍保留的问题求助

已通过SocialiteProvider在Laravel中配置Azure AD认证，但出现以下问题：从应用登出后跳转至首页，但再次尝试登录时无需重新输入Azure账号密码，直接进入已认证状态，疑似浏览器缓存了Azure的认证令牌。

已尝试的操作：

• 调用auth()->logout()退出应用用户
• 调用Session::forget('user')移除会话中的用户凭证
• 调用Session::regenerate()重新生成会话ID
• 调用Session::flush()清除所有会话数据

但问题仍未解决，相关代码如下：

登出函数 #

public function adminLogout(Request $request)
{
    auth()->logout();
     // remove user credentials from session
    $request->session()->forget('user');
    Session::regenerate(); // regenerate session ID
    //Flush Session
    Session::flush();
    //Http::post('https://login.microsoftonline.com/common/wsfederation?wa=wsignout1.0');

    
    //Redirect to Login Page
    return redirect('/');
}

登录函数 #

public function redirectToAzure()
{
    // return Socialite::driver('azure')->redirect();
     return Socialite::with('azure')->redirect();
}

public function handleAzureCallback(Request $request)
{
    $user = Socialite::driver('azure')->user();

    if($user)
    {
        // store user credentials in session
        $request->session()->put('user', $user);
         // redirect to main dashboard page
        return view('admin.dashboard')->with('user', $user);
    }
    else{
        return redirect('/login');
    }
}

问题核心是你只清理了Laravel应用的本地会话，未终止Azure AD的全局认证会话，浏览器仍保留Azure登录凭证，导致再次登录时自动复用。以下是修复步骤：

1. 调用Azure AD的登出端点
   Azure的登出需要用户浏览器发起请求才能清除会话Cookie，不能用后端Http::post调用。构造包含跳转地址的登出URL，重定向用户到该地址：

// 构造登出URL，替换common为你的租户ID（如果需要指定租户）
$logoutUrl = 'https://login.microsoftonline.com/common/oauth2/v2.0/logout?post_logout_redirect_uri=' . urlencode(url('/'));

return redirect()->away($logoutUrl);

2. 优化Laravel会话清理逻辑
   调整会话操作顺序，避免无效操作：

public function adminLogout(Request $request)
{
    // 退出Laravel内置认证
    auth()->logout();
    
    // 移除自定义存储的用户会话数据
    $request->session()->forget('user');
    
    // 重新生成会话ID并删除旧会话，防止会话固定攻击
    $request->session()->regenerate(true);
    
    // 重定向到Azure登出页面
    $logoutUrl = 'https://login.microsoftonline.com/common/oauth2/v2.0/logout?post_logout_redirect_uri=' . urlencode(url('/'));
    
    return redirect()->away($logoutUrl)
        ->header('Cache-Control', 'no-cache, no-store, must-revalidate')
        ->header('Pragma', 'no-cache')
        ->header('Expires', '0');
}

3. 添加缓存控制头
   在登出重定向响应中添加缓存禁止头，防止浏览器缓存已登出状态的页面，避免后续访问时出现异常。

4. 验证Azure应用配置
   在Azure门户的应用注册中，确保"注销URL"已正确配置为你的应用首页或登录页，这能保证Azure登出后正确跳转并完成会话清理。

内容的提问来源于stack exchange，提问作者askwizard