ASP.NET Core结合Duende IdentityServer如何正确清除Cookie

你写的遍历Request.Cookies直接调用Delete的写法本身存在逻辑缺陷，这是Cookie删不干净的核心原因。
ASP.NET Core 中Response.Cookies.Delete()方法默认只会匹配和当前请求路径、Domain、Cookie安全属性完全一致的目标Cookie，只要有一个属性不匹配，浏览器收到删除指令后会直接忽略，不会真的删除本地存储的Cookie。
Duende IdentityServer 和 ASP.NET Core Identity 生成的认证类Cookie，创建时都会指定专属的Path、Secure、SameSite、HttpOnly属性，比如默认的身份认证Cookie.AspNetCore.Identity.Application、IDS会话Cookieidsrv.session、idsrv，默认Path都是根路径/，生产环境还会强制开启Secure、SameSite=Lax/Strict、HttpOnly，你不带匹配参数直接传Cookie名删除，根本匹配不到这些认证Cookie，自然删不掉。

清除Cookie是否需要先手动设置过期时间？ #

不需要。Response.Cookies.Delete()方法内部本身就会自动给待删除的Cookie设置一个1970年的过期时间点，触发浏览器的删除逻辑，你手动给Cookie加过去的过期时间没有实际意义。
真正影响删除成功率的核心是删除时传入的CookieOptions参数必须和Cookie创建时的参数完全一致，尤其是Domain、Path、Secure、SameSite、HttpOnly这几个属性，任何一个不匹配，浏览器都会拒绝执行删除操作。
正确的手动删除认证Cookie的写法参考：

Response.Cookies.Delete(".AspNetCore.Identity.Application", new CookieOptions
{
    Path = "/",
    HttpOnly = true,
    Secure = true,
    SameSite = SameSiteMode.Lax
});
Response.Cookies.Delete("idsrv.session", new CookieOptions
{
    Path = "/",
    Secure = true,
    SameSite = SameSiteMode.Lax
});
Response.Cookies.Delete("idsrv", new CookieOptions
{
    Path = "/",
    Secure = true,
    SameSite = SameSiteMode.Lax
});

Request.Cookies里仍能看到目标Cookie，新标签页/新浏览器实例的Cookie是服务端回传的吗？ #

只要你在当前请求的Request.Cookies里能读到目标Cookie，就说明这些Cookie根本没被浏览器删掉：

• 同个浏览器下的新标签页、新窗口默认共享同一份Cookie存储，没删掉的Cookie会被浏览器自动附带到所有同域请求中，和服务端回传没有关系。
• 如果你说的“新浏览器会话”是指完全关闭浏览器后重新打开还能看到Cookie，说明这些Cookie不是关浏览器就自动清除的会话Cookie，是设置了固定过期时间的持久化Cookie，本地存储在用户磁盘上，没被成功删除的话重启浏览器自然还存在。
• 服务端不会主动生成或回传没有收到过的Cookie，Cookie的存储控制权完全在浏览器侧，服务端只能通过Set-Cookie响应头发操作指令，浏览器不执行指令的话服务端没有强制删除的能力。

上一位用户登出时Cookie为什么没有被正常移除？ #

除了前面说的删除参数不匹配的问题，你的场景还有两个专属诱因：

• 你集成了Angular SPA，如果登出操作是SPA通过fetch/axios发起的异步接口请求，很可能因为CORS策略、跨域配置问题，导致响应里的Set-Cookie删除头被浏览器拦截，根本没执行删除操作。
• 你绕过了Duende IdentityServer的标准登出流程自己删Cookie：IDS本身维护了服务端会话、客户端会话通知的相关状态，不调用官方登出端点的话，不仅本地Cookie删不干净，服务端的会话状态也不会被清除，后续用户访问时很容易触发静默登录，看起来就像上一个用户的残留数据没清掉。

• 不要自己遍历所有Cookie硬删，直接调用ASP.NET Core认证体系自带的SignOutAsync方法，方法内部会自动匹配对应认证方案创建Cookie时的所有参数，保证浏览器能正确识别删除指令，同时触发Duende IdentityServer的会话清理逻辑：

// 清理本地Identity认证Cookie
await HttpContext.SignOutAsync(IdentityConstants.ApplicationScheme);
// 清理Duende IdentityServer认证Cookie
await HttpContext.SignOutAsync(Duende.IdentityServer.IdentityServerConstants.DefaultCookieAuthenticationScheme);

• 如果需要完成所有接入客户端的联合登出，登出时要跳转到Duende IdentityServer的标准/connect/endsession端点，触发全链路会话清理。
• 登出逻辑尽量用顶层页面跳转实现，不要用SPA的异步接口调用，顶层导航请求不会被CORS策略拦截Set-Cookie头，能保证所有删除指令正常执行。
• 登出逻辑处理完成后加一次302跳转，不要直接返回200静态响应，避免浏览器缓存响应导致Cookie删除指令不生效。

内容的提问来源于stack exchange，提问作者Jawahar