Next Auth集成Azure AD B2C登出异常：应用会话销毁但Azure AD会话未清除

核心问题是Next Auth默认仅销毁应用内会话，未触发Azure AD B2C的全局登出流程，导致用户仍处于Azure的登录状态，可跳过MFA直接再次登录。以下是具体解决步骤：

1. 配置Next Auth的登出回调 #

在[...nextauth].js/ts文件中，修改authOptions，添加signOut回调来触发Azure B2C的全局登出：

import NextAuth from "next-auth"
import AzureADB2CProvider from "next-auth/providers/azure-ad-b2c"

export const authOptions = {
  providers: [
    AzureADB2CProvider({
      tenantId: process.env.AZURE_AD_B2C_TENANT_ID,
      clientId: process.env.AZURE_AD_B2C_CLIENT_ID,
      clientSecret: process.env.AZURE_AD_B2C_CLIENT_SECRET,
      primaryUserFlow: process.env.AZURE_AD_B2C_PRIMARY_USER_FLOW,
      authorization: {
        params: {
          scope: "openid offline_access"
        }
      }
    })
  ],
  callbacks: {
    async signOut({ url }) {
      // 构造Azure AD B2C全局登出URL，替换环境变量为你的实际值
      const logoutUrl = `https://${process.env.AZURE_AD_B2C_TENANT_NAME}.b2clogin.com/${process.env.AZURE_AD_B2C_TENANT_NAME}.onmicrosoft.com/${process.env.AZURE_AD_B2C_PRIMARY_USER_FLOW}/oauth2/v2.0/logout?post_logout_redirect_uri=${encodeURIComponent(url)}`
      return logoutUrl
    }
  },
  session: {
    strategy: "jwt" // 确保使用JWT策略，避免服务器端会话残留
  }
}

export default NextAuth(authOptions)

这个回调会让用户登出时先跳转到Azure B2C的登出终结点，清除Azure端的会话后，再重定向回应用的指定页面。

2. 在Azure AD B2C中配置登出重定向URI #

• 登录Azure门户，进入你的B2C租户
• 找到“应用注册”，选择你的应用
• 进入“认证”页面，在“登出重定向URI”区域添加你的应用回调地址（例如https://your-app-domain.com/api/auth/signout/callback，需与代码中post_logout_redirect_uri的值一致）
• 保存配置

3. 验证效果 #

完成配置后，测试登出流程：

• 点击应用内的登出按钮，会跳转到Azure B2C的登出页面
• 登出完成后返回应用，此时再次访问需要登录的页面，会要求重新输入凭据并触发MFA（符合你的租户MFA策略的情况下）

内容的提问来源于stack exchange，提问作者momin naveed