为何HttpContext.SignOutAsync无法使身份验证Cookie失效？

这种行为不正常，完全不符合登出后会话终止、需重新登录才能访问授权接口的逻辑。

问题原因 #

ASP.NET Core默认的Cookie认证是无状态的：SignOutAsync只会向客户端发送清除Cookie的响应，但如果客户端（比如REST API调用时手动保留旧Cookie）继续携带未过期的Cookie请求服务器，服务器仅会验证Cookie本身的签名和过期时间，不会主动检查该Cookie对应的会话是否已被登出——因为服务器端没有存储会话状态。

解决方法 #

1. 启用服务器端票据存储（最可靠）

配置Cookie认证时使用服务器端存储来保存认证票据，这样登出时可以主动移除服务器端的票据，即使客户端保留旧Cookie，服务器也能识别该票据已失效。

示例代码（Startup.cs）：

// ConfigureServices方法
services.AddSession();
services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        // 使用分布式会话存储票据
        options.SessionStore = new DistributedSessionStore(
            services.BuildServiceProvider().GetRequiredService<IDistributedCache>(),
            new LoggerFactory());
    });

// Configure方法（注意顺序）
app.UseSession();
app.UseAuthentication();
app.UseMvc();

2. 登出时手动强制Cookie过期

除了调用SignOutAsync，主动向响应中添加一个已过期的Cookie，覆盖客户端的旧Cookie，避免客户端继续使用：

public async Task<IActionResult> Logout()
{
    await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
    
    // 手动设置Cookie过期
    var cookieName = CookieAuthenticationDefaults.CookiePrefix + CookieAuthenticationDefaults.AuthenticationScheme;
    Response.Cookies.Append(
        cookieName,
        string.Empty,
        new CookieOptions
        {
            Expires = DateTimeOffset.UtcNow.AddDays(-1),
            Path = "/",
            HttpOnly = true,
            Secure = true // 生产环境建议启用HTTPS并设置为true
        });
    
    return Ok("已登出");
}

3. 配置严格的Cookie过期策略

缩短Cookie的有效时长，同时启用滑动过期，减少旧Cookie可被滥用的窗口：

services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.ExpireTimeSpan = TimeSpan.FromMinutes(30); // 会话有效期
        options.SlidingExpiration = true; // 活动时自动延长有效期
        options.LoginPath = "/Account/Login";
    });

内容的提问来源于stack exchange，提问作者nc404