ASP.NET Identity 2.x中SignOut方法删除认证Cookie的具体代码位置排查

我完全理解你的困惑——当你一步步调试SignOut的源码时，翻遍了AuthenticationManager的代码，却找不到哪怕一行直接操作Response.Cookies、把Cookie设为过期的代码，这确实会让人摸不着头脑。其实Owin的认证流程是分层设计的，SignOut本身只是在Owin上下文里标记要执行的撤销操作，真正删除Cookie的逻辑藏在后续的中间件里，我给你拆解清楚：

一、你调试到的AuthenticationManager.SignOut到底做了什么？ #

你调用的Context.GetOwinContext().Authentication.SignOut(DefaultAuthenticationTypes.ApplicationCookie)，最终走到AuthenticationManager里的这行代码：

AuthenticationResponseRevoke = new AuthenticationResponseRevoke(authenticationTypes, properties)

这一步的核心作用是在Owin上下文里埋下一个“撤销标记”，告诉后续的Owin管道：“麻烦帮我撤销掉指定类型（这里是ApplicationCookie）的认证”。它并没有直接操作Cookie，因为AuthenticationManager是一个抽象的认证管理器，不负责具体的Cookie操作（毕竟Owin支持多种认证方式，不止Cookie）。

你看到的priorGrant和priorRevoke都是null是正常的——这说明当前请求里没有提前存在的登录标记，所以直接跳过了过滤身份的逻辑，直接设置撤销标记。

二、真正删除Cookie的代码在哪里？ #

删除Cookie的逻辑在Cookie认证中间件里，也就是Microsoft.Owin.Security.Cookie包中的CookieAuthenticationMiddleware。当Owin管道走到这个中间件的执行末尾时，它会检查Owin上下文里的AuthenticationResponseRevoke标记：

• 如果发现有要撤销的认证类型（和你传入的DefaultAuthenticationTypes.ApplicationCookie匹配），它会生成一个过期的Cookie（把Expires设为过去的时间），然后添加到Response.Cookies集合里，让浏览器自动删除这个Cookie。

你可以通过调试或者反编译这个中间件的源码，看到类似这样的核心逻辑：

if (context.Authentication.AuthenticationResponseRevoke != null)
{
    foreach (var authType in context.Authentication.AuthenticationResponseRevoke.AuthenticationTypes)
    {
        if (authType == Options.AuthenticationType)
        {
            var cookieOptions = new CookieOptions
            {
                Expires = DateTimeOffset.UtcNow.AddYears(-1), // 设为过去时间，让浏览器删除
                Path = Options.CookiePath,
                Domain = Options.CookieDomain,
                Secure = Options.CookieSecure == CookieSecureOption.Always || 
                        (Options.CookieSecure == CookieSecureOption.SameAsRequest && context.Request.IsSecure),
                HttpOnly = Options.CookieHttpOnly,
                SameSite = Options.CookieSameSite
            };
            context.Response.Cookies.Delete(Options.CookieName, cookieOptions);
        }
    }
}

简单说：AuthenticationManager负责“下达指令”，Cookie中间件负责“执行指令（删Cookie）”。

三、为什么你的场景里Cookie没被删掉？ #

既然你已经确认SignOut走到了设置AuthenticationResponseRevoke的步骤，那问题大概率出在中间件的配置或者Owin管道顺序上，给你几个排查方向：

• 确认Cookie中间件已正确注册：检查你的Startup类（或者配置Owin的代码）里，有没有类似app.UseCookieAuthentication(new CookieAuthenticationOptions { AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie })的代码，而且要确保它注册在其他依赖认证的中间件之前（比如UseIdentity、UseExternalSignInCookie）。
• 检查Cookie的路径/域名一致性：如果登录时设置的Cookie Path是/admin、Domain是sub.example.com，但SignOut时中间件用的是默认的/或example.com，浏览器会认为是不同的Cookie，自然删不掉。
• 手动验证Response里的Cookie：在调用SignOut之后，可以加一行调试代码var cookies = Context.Response.Cookies;，检查里面有没有添加过期的ApplicationCookie。
• 确认Owin上下文的正确性：确保你用的是Context.GetOwinContext()（WebForms的HttpContext的Owin上下文），而不是其他错误的上下文对象。

内容来源于stack exchange