msal-browser 2.0：如何调用logout()仅退出自身应用而非Outlook网页版

这个问题的核心是默认情况下MSAL的logout()会触发全局SSO登出，终止AAD上的整个用户会话，导致所有关联应用（包括Outlook）都被登出。要实现仅退出当前应用，有两种可行方案，你可以根据需求选择：

方案1：仅清除本地应用缓存（不触发AAD全局登出） #

如果你的需求只是让当前应用的用户状态失效（下次访问需要重新登录），但保留用户在其他AAD应用（如Outlook）的登录状态，直接使用localLogout()方法就可以。这个方法只会清除当前应用本地存储的MSAL缓存（包括access token、id token和账户信息），不会向AAD发送登出请求，因此完全不会影响其他应用的SSO会话。

示例代码：

// 获取当前应用的已登录账户
const account = msalInstance.getActiveAccount();
if (account) {
  // 仅清除本地缓存，不触发全局登出
  await msalInstance.localLogout({ account });
  // 登出后跳转到你的应用登录页或首页
  window.location.href = "/login";
}

方案2：触发应用级登出（清除本地缓存+终止当前应用的AAD会话） #

如果你需要不仅清除本地缓存，还要让AAD明确终止当前应用的会话（确保用户无法再通过SSO自动登录你的应用），但不影响其他应用，可以通过配置logout()方法的参数实现。关键是指定logoutHint和clientId，让AAD知道只处理当前应用的登出请求，而不是全局会话。

示例代码：

const account = msalInstance.getActiveAccount();
if (account) {
  await msalInstance.logout({
    account: account,
    // 指定当前用户的邮箱/UPN，帮助AAD定位到对应的应用会话
    logoutHint: account.username,
    // 指定当前应用的Client ID，确保AAD只终止该应用的会话
    clientId: "你的应用Client ID",
    // 登出后跳转回你的应用页面（需预先在AAD应用注册中配置该URL）
    postLogoutRedirectUri: window.location.origin + "/post-logout"
  });
}

关键注意事项： #

• 务必确保postLogoutRedirectUri已经在AAD应用注册的**“身份验证”**页面中添加到“登出重定向URI”列表里，否则会出现权限错误。
• logoutHint参数需要传入用户的邮箱或用户主体名称（UPN），这能帮助AAD精准定位到当前应用的会话，避免误触发全局登出。
• 测试时可以验证：使用方案2后，用户再次访问你的应用需要重新登录，但Outlook依然保持登录状态。

为什么默认logout会影响Outlook？ #

默认情况下，MSAL的logout()方法会向AAD发送全局登出请求，这个请求会终止用户在AAD上的整个会话，所有依赖该会话的应用（包括Outlook这类微软官方应用）都会被强制登出。通过上述两种方案，我们可以绕开全局会话终止逻辑，只针对当前应用进行状态清理。

内容的提问来源于stack exchange，提问作者user1763729