Azure AD B2C自定义策略单点登出失效，请求排查指导

问题概述 #

使用Azure AD B2C自定义策略实现两个SPA的SSO，同一应用注册下配置了两个重定向URI，单点登录流程正常，但单点登出未同步：从其中一个SPA登出后，另一个SPA仍保留活跃会话，未按预期登出。

当前实现配置 #

1. 应用注册配置 #

• 配置了两个重定向URI（截图：）
• 前端通道登出URL配置为：https://{tenantname}.b2clogin.com/{tenantname}.onmicrosoft.com/{PolicyName}/oauth2/v2.0/logout

2. 自定义策略配置 #

Claims Provider代码

<ClaimsProvider>
      <DisplayName>Local Account SignIn</DisplayName>
      <TechnicalProfiles>
        <!-- JWT Token Issuer -->
        <TechnicalProfile Id="JwtIssuer">
          <DisplayName>JWT token Issuer</DisplayName>
          <Protocol Name="OpenIdConnect" />
          <OutputTokenFormat>JWT</OutputTokenFormat>
          <UseTechnicalProfileForSessionManagement ReferenceId="SM-jwt-issuer" />
        </TechnicalProfile>
        <!-- Session management technical profile for OIDC based tokens -->
        <TechnicalProfile Id="SM-jwt-issuer">
          <DisplayName>Session Management Provider</DisplayName>
          <Protocol Name="Proprietary" Handler="Web.TPEngine.SSO.OAuthSSOSessionProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
        </TechnicalProfile>
        <!--SAML token issuer-->
        <TechnicalProfile Id="Saml2AssertionIssuer">
          <DisplayName>SAML token issuer</DisplayName>
          <Protocol Name="SAML2" />
          <OutputTokenFormat>SAML2</OutputTokenFormat>
          <UseTechnicalProfileForSessionManagement ReferenceId="SM-Saml-issuer" />
        </TechnicalProfile>
        <!-- Session management technical profile for SAML based tokens -->
        <TechnicalProfile Id="SM-Saml-issuer">
          <DisplayName>Session Management Provider</DisplayName>
          <Protocol Name="Proprietary" Handler="Web.TPEngine.SSO.SamlSSOSessionProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
        </TechnicalProfile>
      </TechnicalProfiles>
    </ClaimsProvider>

用户旅程配置

<UserJourneyBehaviors>
      <SingleSignOn Scope="TrustFramework" EnforceIdTokenHintOnLogout="true" />
    </UserJourneyBehaviors>

3. Angular SPA登出代码 #

signOut(): void {
        this.loggedIn = false;
        localStorage.removeItem("currentUser");
        const request = {
          redirectStartPage: "/",
          scopes: ["openid", "profile", `${environment.ClientId}`]
        };

        this.msalService.acquireTokenSilent(request as SilentRequest).subscribe({
          next: (result: AuthenticationResult) => {
            this.msalService.logoutRedirect({idTokenHint: result.idToken, postLogoutRedirectUri: 'http://localhost:4200/logout'});
          },
          error: (error) => {
          }
        });
    }

问题排查与修复方案 #

1. 前端通道登出URL配置错误 #

当前配置的前端通道登出URL是Azure B2C的官方logout端点，这是错误的。前端通道登出的作用是Azure B2C向所有已登录的SPA发送登出通知，因此需要配置每个SPA自身的登出页面URL，而非B2C的端点。

修复操作：

• 在应用注册的"前端通道登出URL"中添加两个SPA的登出页面地址，例如：
  • http://localhost:4200/logout（第一个SPA）
  • http://localhost:4201/logout（第二个SPA，根据实际端口调整）

2. Angular应用未监听前端通道登出事件 #

另一个SPA未收到登出通知并清除本地会话，是因为没有监听Azure B2C发送的前端通道登出事件。

修复操作：
在两个SPA中添加事件监听逻辑，以MSAL Angular为例：

import { BroadcastService, EventType } from '@azure/msal-angular';

// 在组件初始化或服务构造函数中添加监听
constructor(private broadcastService: BroadcastService) {
  this.broadcastService.subscribe(EventType.LOGOUT_END, () => {
    // 清除本地会话状态
    localStorage.removeItem("currentUser");
    this.loggedIn = false;
    // 跳转到登录页或首页
    window.location.href = '/';
  });
}

也可直接监听浏览器message事件，处理Azure B2C发送的登出通知。

3. Angular登出代码优化 #

• 移除无效Scope：scopes中不需要包含environment.ClientId，正确的OIDC Scope应为["openid", "profile"]（若需API访问则添加对应API Scope）。
• 处理Token获取失败场景：当acquireTokenSilent失败时（如Token过期），直接触发登出，避免流程中断。

优化后的登出代码：

signOut(): void {
  this.loggedIn = false;
  localStorage.removeItem("currentUser");
  
  // 尝试获取idTokenHint，失败则直接登出
  this.msalService.acquireTokenSilent({ scopes: ["openid", "profile"] }).subscribe({
    next: (result: AuthenticationResult) => {
      this.msalService.logoutRedirect({
        idTokenHint: result.idToken,
        postLogoutRedirectUri: 'http://localhost:4200/logout'
      });
    },
    error: () => {
      // 无需idTokenHint也可触发登出
      this.msalService.logoutRedirect({
        postLogoutRedirectUri: 'http://localhost:4200/logout'
      });
    }
  });
}

4. 验证策略会话管理配置 #

当前策略中的SM-jwt-issuer和JwtIssuer配置正确，但需确保在RelyingParty节点中引用JwtIssuer技术配置文件，例如：

<RelyingParty>
  <DefaultUserJourney ReferenceId="SignUpOrSignIn" />
  <TechnicalProfile Id="PolicyProfile">
    <DisplayName>PolicyProfile</DisplayName>
    <Protocol Name="OpenIdConnect" />
    <OutputClaims>
      <OutputClaim ClaimTypeReferenceId="displayName" />
      <OutputClaim ClaimTypeReferenceId="givenName" />
      <OutputClaim ClaimTypeReferenceId="surname" />
      <OutputClaim ClaimTypeReferenceId="email" />
      <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="sub"/>
      <OutputClaim ClaimTypeReferenceId="identityProvider" />
    </OutputClaims>
    <SubjectNamingInfo ClaimType="sub" />
    <UseTechnicalProfileForSessionManagement ReferenceId="SM-jwt-issuer" />
  </TechnicalProfile>
</RelyingParty>

验证步骤 #

1. 完成上述配置修改后，分别登录两个SPA。
2. 从其中一个SPA触发登出，检查另一个SPA是否自动清除会话并跳转至登录页/首页。
3. 查看浏览器控制台，确认前端通道登出事件是否被正确接收和处理。

内容的提问来源于stack exchange，提问作者sajna m nair