Azure AD B2C登出后SSO免凭据自动登录异常问题排查

核心原因是登出请求未正确携带身份标识，导致Azure B2C侧的用户会话没有被销毁，仅完成了本地应用的登出跳转。 #

具体问题点 #

1. 登出URL拼接存在语法错误 #

你当前构建登出URL的代码中，查询字符串起始符?后第一个参数前多余了一个&符号：

return "https://" + tenantId + ".b2clogin.com/" + tenantId + ".onmicrosoft.com/" + policy + "/oauth2/v2.0/logout?" //
        + "&id_token_hint=" + idToken // 此处多余的&会导致参数名解析错误
        + "&post_logout_redirect_uri=" + URLEncoder.encode(redirectUrl, "UTF-8");

拼接完成的实际URL格式为/logout?&id_token_hint=xxx&post_logout_redirect_uri=xxx，Azure B2C服务端解析时会把第一个参数识别为名为&id_token_hint的无效参数，无法读取到你传入的idToken值，因此不会对应用户会话做失效处理，仅执行跳转逻辑，造成登出成功的假象。
另外你传入id_token_hint时没有做URL编码，一旦idToken中包含+、=、/这类URL保留字符，同样会出现参数截断、解析失败的问题。

修正后的登出URL构建代码：

return "https://" + tenantId + ".b2clogin.com/" + tenantId + ".onmicrosoft.com/" + policy + "/oauth2/v2.0/logout?" //
        + "id_token_hint=" + URLEncoder.encode(idToken, "UTF-8") // 移除开头多余&，增加URL编码
        + "&post_logout_redirect_uri=" + URLEncoder.encode(redirectUrl, "UTF-8");

2. 门户配置的认知偏差 #

• 标注1的重定向URL列表需要同时添加登录回调、登出回调地址，这是Azure B2C的强制安全校验规则，你当前的配置方式是正确的。
• 标注2的「登出URL」配置项仅对Azure自有入口（如My Apps统一应用面板）触发的跨应用登出生效，和你业务系统内主动发起的登出流程无关，不配置也不会影响当前场景的登出逻辑。

验证方法 #

修正代码后重新走登出流程，抓包观察b2clogin.com域名下的Cookie，登出完成后对应域的会话Cookie会被清空，此时再点击SSO登录链接，就会跳转到凭证输入页要求重新输入账号密码，不会再自动登录。

内容的提问来源于stack exchange，提问作者Mikael