基于OIDC认证方案的Blazor Server应用登出问题排查

核心问题分析 #

你遇到的问题是：调用OpenIdConnectDefaults.AuthenticationScheme的SignOutAsync未触发IDP的end_session_endpoint，导致IDP会话未清除，且残留关联Cookie。

关于第二个SignOutAsync的预期行为 #

它的作用是重定向用户到IDP的登出端点，而非后台静默执行。这个流程需要用户与IDP交互（比如确认登出），完成IDP端的会话清除后，再跳转回你指定的RedirectUri。

配置遗漏的关键项 #

你的AddOpenIdConnect配置缺少登出相关的必要设置，导致框架无法触发完整的OIDC登出流程：

修改认证配置 #

在AddOpenIdConnect中补充以下配置：

builder.Services
    .AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddCookie()
    .AddOpenIdConnect(opts => {
        // 原有配置保持不变...
        
        // 新增登出相关配置
        opts.SignOutScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        // 配置登出后跳转地址，需在IDP客户端配置中添加为允许的回调地址
        opts.PostLogoutRedirectUri = "http://mydomainhere.com/our/path/here";
        
        // 可选：手动确认IDP登出端点（确保元数据获取正常）
        opts.Events = new OpenIdConnectEvents
        {
            OnRedirectToIdentityProviderForSignOut = context =>
            {
                var endSessionEndpoint = context.Options.Configuration.EndSessionEndpoint;
                if (!string.IsNullOrEmpty(endSessionEndpoint))
                {
                    context.ProtocolMessage.IssuerAddress = endSessionEndpoint;
                }
                return Task.CompletedTask;
            }
        };
    });

修正登出代码 #

不需要分开调用两个SignOutAsync，正确的做法是直接调用OIDC的登出方法，框架会自动先清除Cookie，再触发IDP登出流程：

推荐的登出实现（在Razor页面中执行） #

由于Blazor组件的SignalR连接特性，直接在组件中调用HttpContext.SignOutAsync可能无法正常触发重定向。建议创建专门的登出Razor页面（比如Logout.cshtml）：

Logout.cshtml代码后置

public class LogoutModel : PageModel
{
    public async Task<IActionResult> OnGet()
    {
        await HttpContext.SignOutAsync(OpenIdConnectDefaults.AuthenticationScheme, new AuthenticationProperties
        {
            RedirectUri = Url.Content("~/our/path/here")
        });
        return new EmptyResult();
    }
}

Blazor组件中触发登出

<button @onclick="TriggerLogout">登出</button>

@code {
    [Inject]
    private NavigationManager NavManager { get; set; }

    private void TriggerLogout()
    {
        // 强制加载登出页面，确保进入HTTP请求上下文
        NavManager.NavigateTo("/logout", forceLoad: true);
    }
}

残留关联Cookie的解决 #

.AspNetCorrelation.hash是OIDC流程中用于CSRF防护的临时会话Cookie，正常情况下会在流程完成后自动清除。当前残留是因为登出流程未完整触发，修复上述配置和代码后，这些Cookie会随完整登出流程被正确清理。

额外注意事项 #

1. 确保IDP的客户端配置中，已将PostLogoutRedirectUri添加到允许的登出回调地址列表中，否则IDP会拒绝跳转。
2. 确认IDP的元数据（/.well-known/openid-configuration）中正确暴露了end_session_endpoint。

内容的提问来源于stack exchange，提问作者Ben Zuill-Smith