Duende IdentityServer 6.1.6：implicit与authorization_code流单点登出异常

环境概述 #

• Angular 13 应用：采用Implicit授权流，依赖angular-oauth2-oidc包
• .NET Framework ASP.NET MVC 应用：采用Authorization Code授权流，依赖前端通道登出（Frontend Channel Logout）包
• Identity Server 作为统一认证中心

问题1：sessionChecksEnabled=true时无会话变更却持续触发session_changed事件 #

排查与解决步骤：

1. 调整会话轮询间隔
   angular-oauth2-oidc的默认会话检查间隔可能过小，导致频繁触发事件。手动调大sessionCheckInterval参数：

   OAuthModule.forRoot({
     oauthService: {
       sessionChecksEnabled: true,
       sessionCheckInterval: 30000, // 设为30秒，可根据需求调整
       // 其他客户端配置...
     }
   })
   

2. 验证Identity Server会话状态端点
   手动访问Identity Server的connect/checksession端点，查看返回的iframe内容是否稳定。若状态值频繁变动，需检查Identity Server的会话存储配置（如是否使用了不稳定的缓存机制）。
3. 核对客户端登出回调地址
   确保Angular客户端在Identity Server中的post_logout_redirect_uri配置与应用内设置完全一致，错误的回调地址可能导致会话状态判断异常。

问题2：Angular登出后MVC应用前端通道登出URI已命中，但会话未失效 #

排查与解决步骤：

1. 完善MVC应用登出逻辑
   确保前端通道登出接口接收到请求后，彻底清除会话与认证Cookie：

   public ActionResult FrontChannelLogout(string sid)
   {
       if (User.Identity is ClaimsIdentity identity)
       {
           var currentSessionId = identity.FindFirst("sid")?.Value;
           if (!string.IsNullOrEmpty(currentSessionId) && currentSessionId == sid)
           {
               // 清除Forms认证
               FormsAuthentication.SignOut();
               // 销毁会话
               Session.Abandon();
               // 删除认证Cookie
               var authCookie = new HttpCookie(FormsAuthentication.FormsCookieName)
               {
                   Expires = DateTime.Now.AddDays(-1),
                   Path = "/"
               };
               Response.Cookies.Add(authCookie);
           }
       }
       return new EmptyResult();
   }
   

2. 检查Identity Server客户端配置
   确保MVC客户端的前端通道登出配置正确开启会话校验：

   new Client
   {
       ClientId = "your-mvc-client-id",
       // 其他基础配置...
       FrontChannelLogoutUri = "https://your-mvc-domain/Account/FrontChannelLogout",
       FrontChannelLogoutSessionRequired = true, // 必须设为true才会携带sid参数
       AllowedScopes = { "openid", "profile", "api" } // 确保包含openid以获取sid声明
   }
   

3. 校验sid参数匹配性
   在MVC的登出接口中添加日志，确认接收到的sid参数与当前用户会话中的sid声明一致。若不匹配，检查MVC应用在获取令牌时是否正确请求了openid scope。
4. 排查跨域Cookie限制
   若应用与Identity Server不在同一主域，需确认Identity Server的认证Cookie已配置正确的Domain、SameSite=None和Secure属性，保证跨域场景下Cookie可正常传递。

内容的提问来源于stack exchange，提问作者Ghanshyam Shukla