清除浏览器缓存后Azure DevOps为何仍能保持登录状态

你观察到的现象本质是微软身份体系做了多层登录态留存设计，打破了“清缓存=登出账号”的固有认知，核心逻辑分三点：

• 普通“清除浏览器缓存”操作碰不到核心身份凭证
  绝大多数用户清缓存时只会选择清理当前站点的HTTP缓存、临时会话Cookie、LocalStorage/SessionStorage里的站点缓存数据，但Azure DevOps依赖的微软身份体系（MSA个人账户/Azure AD工作账户），会把长期有效的刷新令牌存在两个独立存储区：一是浏览器和系统打通的加密凭证库（比如Chromium内核浏览器对接的系统Web凭证管理器、Firefox自带的加密凭证存储），二是microsoft.com、login.microsoftonline.com这类微软根域下标记为HttpOnly+Secure的持久Cookie。只清理dev.azure.com单站点缓存的话，这些核心凭证完全不会被删除。
• 静默令牌续期流程对用户完全无感知
  就算你清缓存时误删了dev.azure.com本站点的短期访问令牌、会话Cookie，页面集成的微软身份SDK会在接口请求返回401鉴权失败时，自动通过隐藏iframe向微软身份服务发起静默续期请求——只要根域下的刷新令牌有效，这个过程不需要用户做任何交互就能拿到新的访问令牌，SDK拿到新凭证后会自动重试之前失败的评论提交请求，用户全程看不到跳转、登录提示，只会觉得操作一切正常。
• 已打开页面的内存态暂存兜底
  你是先打开任务详情页再执行的清缓存操作，此时页面的JS运行时内存里已经留存了一份有效的短期访问令牌。浏览器清缓存只会清理磁盘上的持久化存储数据，不会修改已经加载到内存里的页面运行上下文，你点击提交评论时，内存里的有效令牌可以直接完成接口鉴权，请求自然能正常发送成功。

注：如果清缓存时手动勾选「所有时间范围、全站点Cookie与站点数据、系统存储的站点凭证」选项，彻底删除所有微软域下的身份凭证后，再操作Azure DevOps就会被强制跳转到登录页，不存在所谓的“永不掉线”机制。

内容的提问来源于stack exchange，提问作者user9544908