ASP.NET集成Azure登录：获取Graph邮箱后如何自动登出Azure AD

核心问题原因：Azure AD的单点登录会话存储在微软域名下，仅清除自有站点的会话Cookie不会影响AAD侧的登录状态，后续发起鉴权请求时会自动携带当前活动账号的令牌完成静默登录，不会弹出账号选择界面。

方案1（推荐，不影响用户其他微软服务登录状态）：登录请求强制触发账号选择 #

在OpenID Connect鉴权配置中加入全局参数，不管当前AAD侧是否存在活动会话，每次点击「Sign in with Azure」时都强制弹出账号选择界面，从根源上避免自动复用旧账号。

ASP.NET Core 实现代码：

// Program.cs 服务配置阶段
builder.Services.Configure<OpenIdConnectOptions>(OpenIdConnectDefaults.AuthenticationScheme, options =>
{
    options.Events.OnRedirectToIdentityProvider = context =>
    {
        // 附加select_account提示，强制跳过静默登录，弹出账号选择框
        context.ProtocolMessage.Prompt = "select_account";
        return Task.CompletedTask;
    };
});

该方案基于OIDC标准协议实现，不需要额外处理校验失败的登出逻辑，用户点击登录按钮就可以自主选择要使用的Azure账号，不会被自动登录到未注册的无效账号。

方案2：校验失败时主动清除AAD侧会话 #

当通过Microsoft Graph拿到的邮箱未在自有数据库注册时，主动调用Azure AD登出端点，清除当前无效账号的AAD会话，再重定向回自有站点登录页。
实现步骤：

• 首先清除自有站点本地的认证Cookie、缓存的用户令牌
• 构造AAD登出请求，跳转到微软身份平台的登出端点，登出完成后自动跳回自有站点登录页

校验失败分支的代码示例：

// 拿到Graph返回的用户邮箱后，查库判断是否存在已注册用户
var userEmail = graphUser.Mail ?? graphUser.UserPrincipalName;
var localUser = await _userService.GetUserByEmail(userEmail);
if (localUser == null)
{
    // 第一步：清除本地应用认证会话
    await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
    // 第二步：构造AAD登出地址，post_logout_redirect_uri需提前在AAD应用注册后台配置
    var tenantId = builder.Configuration["AzureAd:TenantId"];
    var logoutRedirectUrl = "https://你的站点域名/login";
    var aadLogoutUrl = $"https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/logout?post_logout_redirect_uri={Uri.EscapeDataString(logoutRedirectUrl)}";
    // 可附加提示参数，跳回登录页后展示"当前Azure账号未注册，请使用已授权账号登录"的提示
    return Redirect(aadLogoutUrl + "&error=account_not_registered");
}
// 校验通过，生成自有系统令牌，完成登录

注意事项 #

• 使用方案2时，post_logout_redirect_uri必须提前在Azure AD应用注册的「重定向URI」列表中添加，否则登出后会跳转到微软的通用登出完成页，无法回到自有站点
• 两个方案可以叠加使用，既强制每次登录弹出账号选择，又在校验失败时清理无效会话，容错率更高
• 不要尝试通过前端JS清除微软域名下的Cookie，受浏览器同源策略限制，该操作无法生效

内容的提问来源于stack exchange，提问作者Psychonaut007