Flutter应用中如何彻底清除Auth0用户登录会话

flutter_secure_storage.deleteAll() 仅能清除应用沙箱内你主动写入的token、用户信息等本地数据，无法触及两类核心会话残留，这是自动登录问题的核心原因：

• flutter_appauth 插件内部维护的授权状态缓存
• 插件授权时调用的系统级Web容器（Android端Custom Tabs、iOS端ASWebAuthenticationSession）中留存的Auth0 SSO Cookie，这部分缓存归系统管理，不在应用沙箱存储范围内，本地删除操作完全碰不到。

按顺序执行以下操作即可彻底清除会话：

• 登出时优先调用AppAuth官方的结束会话接口，不要仅删除本地存储
  必须在清本地数据前触发endSession请求，主动通知Auth0终止会话、清除Web容器内的SSO Cookie，参考代码：

  import 'package:flutter_appauth/flutter_appauth.dart';
  import 'package:flutter_secure_storage/flutter_secure_storage.dart';
  
  const appAuth = FlutterAppAuth();
  const secureStorage = FlutterSecureStorage();
  
  Future<void> performLogout() async {
    // 先终止Auth0端会话，清Web层缓存
    await appAuth.endSession(EndSessionRequest(
      // 传入登录成功时获取的idToken，必填，漏传会导致清会话失败
      idTokenHint: storedIdToken,
      // 必须和Auth0后台配置的登出回调地址完全一致
      postLogoutRedirectUrl: 'com.your.app://logout-callback',
      issuer: 'https://your-auth0-domain.auth0.com',
      // 强制后续登录展示凭证输入页
      promptValues: const ['login'],
    ));
  
    // 再清除本地存储的所有业务数据
    await secureStorage.deleteAll();
  }
  

• 补全Android端配置
  找到AndroidManifest.xml中注册的AppAuth回调Activity（一般是com.linusu.flutter_web_auth.CallbackActivity），补充两个属性避免Web容器实例留存：

  <activity
      android:name="com.linusu.flutter_web_auth.CallbackActivity"
      android:exported="true"
      android:noHistory="true"
      android:launchMode="singleTask">
      <intent-filter>
          <action android:name="android.intent.action.VIEW" />
          <category android:name="android.intent.category.DEFAULT" />
          <category android:name="android.intent.category.BROWSABLE" />
          <data android:scheme="com.your.app" />
      </intent-filter>
  </activity>
  

• 登录请求加兜底参数
  每次发起登录授权请求时，固定传入promptValues: ['login']，强制Auth0跳过所有静默SSO逻辑，直接展示凭证输入页，从入口避免残留会话自动登录：

  Future<void> performLogin() async {
    final result = await appAuth.authorizeAndExchangeCode(
      AuthorizationTokenRequest(
        'your-auth0-client-id',
        'com.your.app://login-callback',
        issuer: 'https://your-auth0-domain.auth0.com',
        scopes: const ['openid', 'profile', 'email', 'offline_access'],
        // 强制弹出登录页，禁止静默登录
        promptValues: const ['login'],
      ),
    );
    // 后续存储token逻辑...
  }
  

• 不要漏传idTokenHint：endSession接口如果没有携带合法的idToken，Auth0不会终止对应会话，Web层Cookie会一直留存
• 登出回调地址必须和Auth0后台配置完全匹配，包括scheme、路径、后缀，否则endSession请求会静默失败
• 不要修改AppAuth默认的Web容器配置，不要调用外部系统浏览器完成授权：外部浏览器的Cookie和应用内Web容器完全隔离，应用内调用endSession无法清除浏览器内留存的Cookie，会导致会话永久残留。

内容的提问来源于stack exchange，提问作者George Jonathan Osafo-Osei