ASP.NET Core MVC OpenIdConnect如何判断SignOutAsync是否可调用

Microsoft.Identity.Web 底层复用ASP.NET Core原生OpenIdConnect认证处理器的元数据管理逻辑，从well-known端点拉取的配置会被本地缓存，不需要重复发起HTTP请求拉取，直接通过依赖注入就能拿到处理器实际运行时使用的配置实例。

核心实现代码 #

在控制器、Razor Page或自定义服务中，注入IOptionsMonitor<OpenIdConnectOptions>即可访问配置管理器，示例代码如下：

// 以控制器场景为例，Razor Page/服务层用法一致
private readonly IOptionsMonitor<OpenIdConnectOptions> _oidcOptionsMonitor;
private readonly ILogger<AccountController> _logger;

// 构造函数注入依赖
public AccountController(
    IOptionsMonitor<OpenIdConnectOptions> oidcOptionsMonitor,
    ILogger<AccountController> logger)
{
    _oidcOptionsMonitor = oidcOptionsMonitor;
    _logger = logger;
}

public async Task<IActionResult> Logout()
{
    // 按认证Scheme获取对应IdP的OIDC配置，默认Microsoft.Identity.Web使用的OIDC Scheme为OpenIdConnectDefaults.AuthenticationScheme
    var oidcOptions = _oidcOptionsMonitor.Get(OpenIdConnectDefaults.AuthenticationScheme);
    // 获取已缓存的well-known配置，若本地缓存过期会自动重新拉取，逻辑和认证处理器内部逻辑完全一致
    var wellKnownConfig = await oidcOptions.ConfigurationManager.GetConfigurationAsync(HttpContext.RequestAborted);

    // 检查登出端点是否存在
    bool supportRemoteSignOut = !string.IsNullOrWhiteSpace(wellKnownConfig.EndSessionEndpoint);

    // 按需记录全量元数据到日志，满足调试、多IdP兼容排查需求
    // 序列化后的内容包含issuer、各业务端点、支持的算法/响应类型、jwks地址等所有well-known端点返回的字段
    _logger.LogDebug("当前IdP加载的OIDC元数据：{@FullMetadata}", wellKnownConfig);

    if (supportRemoteSignOut)
    {
        // 端点存在，执行标准登出流程
        await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
        await HttpContext.SignOutAsync(OpenIdConnectDefaults.AuthenticationScheme);
    }
    else
    {
        // 端点不存在，仅清除本地认证Cookie，跳过远端登出跳转避免抛出异常
        await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
        return Redirect("~/");
    }
}

多IdP兼容场景适配 #

如果后续需要对接SiteMinder等其他身份提供商，只需要在注册OIDC Scheme时记录每个IdP对应的Scheme名称，传入_oidcOptionsMonitor.Get(schemeName)即可拿到对应IdP的well-known配置，不需要修改核心逻辑：

• 可以通过注入IAuthenticationSchemeProvider枚举所有已注册的OIDC类型认证Scheme，批量拉取所有IdP的元数据做预校验
• 所有元数据字段和原生well-known端点返回的结构完全一致，排查问题时可以直接把序列化后的元数据日志提供给IdP运维方，不需要额外抓包

Auth0场景补充 #

Auth0默认的标准OIDC元数据确实不会返回end_session_endpoint字段，它的登出接口遵循自有规范，地址格式为https://{你的Auth0域名}/v2/logout。如果需要实现Auth0的远端登出，可以在AddMicrosoftIdentityWebApp配置时，给OpenIdConnectOptions.Events.OnRedirectToIdentityProviderForSignOut事件添加自定义逻辑，检测到是Auth0 IdP时手动拼接登出地址跳转即可，不需要靠捕获异常控制流程。

内容的提问来源于stack exchange，提问作者user2845090