关于ASP.NET Core Identity注销后手动添加Cookie仍可登录的技术问询

默认情况下，ASP.NET Core Identity的Cookie认证是无状态的——服务器端不会主动跟踪用户的活跃登录状态。

• 注销的默认操作：只是触发浏览器移除本地的认证Cookie，服务器本身不会记录该用户已注销的信息。
• 手动恢复Cookie后仍能登录的原因：认证Cookie是经过加密签名的，只要Cookie未过期、签名验证通过，服务器就会认可这个身份凭证，不会额外检查用户是否“应该”已经注销。

如果想要实现注销后即使恢复Cookie也无法登录的效果，可以参考以下方案：

• 启用Cookie的滑动过期，同时将登录会话信息存储在服务器端（比如Redis、数据库），注销时删除对应会话记录，每次请求时校验会话是否有效。
• 使用Reference Tokens（可搭配Identity Server），服务器端保存令牌的引用记录，注销时直接作废该引用。
• 自定义登录凭证黑名单：注销时把Cookie的唯一标识（如Id）加入黑名单，在认证中间件中添加校验逻辑，检查当前Cookie是否在黑名单内。

内容的提问来源于stack exchange，提问作者arun kr