msal-react对接Azure ADB2C本地用户登出后无密码提示问题咨询

该现象不属于msal-react的原生Bug，核心原因是登出流程仅完成了客户端侧令牌清理，未同步销毁Azure AD B2C服务端留存的身份会话。

• 你观察到的浏览器会话存储令牌被清除，仅代表msal-react完成了前端应用侧的身份状态重置，此时应用本身不再持有有效访问、刷新令牌。
• Azure AD B2C作为身份提供方，会在自身租户域名下留存独立的会话Cookie，该Cookie独立于前端应用的存储。只要Cookie未过期、浏览器进程未关闭，后续发起登录请求时，B2C会直接识别到有效服务端会话，跳过密码校验步骤直接返回令牌完成自动登录。
• 关闭浏览器后，该会话Cookie被浏览器自动销毁，再次访问时才会触发完整的密码输入流程，和你描述的异常现象完全匹配。

• 校验登出方法的调用逻辑
  不要仅执行本地存储清理操作，必须调用msal-react提供的官方登出方法，且不要拦截跳转到B2C登出端点的逻辑。logoutRedirect/logoutPopup方法默认会向B2C服务端发送登出请求销毁服务端会话，若你之前为了优化登出速度添加了跳转拦截、仅手动清空localStorage/sessionStorage的逻辑，需要移除。
  登出方法参考实现：

  import { useMsal } from "@azure/msal-react";
  
  const { instance } = useMsal();
  
  const handleLogout = () => {
    instance.logoutRedirect({
      postLogoutRedirectUri: window.location.origin,
    });
  };
  

  如果你使用的是msal-react v1.x版本，需要额外确认配置中的auth.navigateToLoginRequestUrl参数未被错误设置为false，避免登出跳转被拦截。
• 检查B2C用户流配置
  进入B2C租户的用户流配置页，找到当前使用的本地账号登录用户流：
  • 确认会话配置中，Web应用会话有效期设置符合预期，没有开启过长的会话留存时间
  • 若开启了「记住我」功能，检查持久化Cookie的有效期是否过长，可根据业务需求调整或关闭该功能
  • 确认登出后会话即时销毁，没有配置会话留存宽限期
• 兼容联合身份场景
  针对外部联合身份用户，需要在用户流/自定义策略配置中开启「登出时通知外部身份提供商」选项，确保登出时同步销毁外部IdP留存的会话，避免联合账号场景下也出现自动登录问题。
• 高安全场景强制重新校验凭据
  如果业务要求每次登录必须输入密码（无单点登录需求），可以在发起登录请求时传入prompt: "login"参数，强制B2C忽略现有服务端会话，弹出完整的凭据输入界面：

  instance.loginRedirect({
    scopes: ["openid", "profile", "offline_access"],
    prompt: "login"
  });
  

  注意该配置会完全禁用跨应用单点登录能力，仅在安全等级要求高的场景下使用。

内容的提问来源于stack exchange，提问作者Marina Gurevich