Azure B2C自定义策略联合身份提供商登出时iframe被拦截问题

你碰到的拦截问题的核心原因是：

• 作为上游身份提供商的Azure AD，其登出端点默认返回X-Frame-Options: DENY响应头，禁止任何iframe加载该地址
• Azure B2C自定义策略默认使用的SM-SocialLogin会话管理组件，处理联合身份提供商登出的逻辑是：在B2C登出页面插入隐藏iframe，通过iframe发起对上游IdP登出端点的调用，用于清除上游会话。该逻辑刚好触发了Azure AD的iframe加载限制，因此请求被拦截。

你目前在用的临时方案是通过手动拼接登出跳转链，绕开了B2C的iframe调用逻辑，直接通过顶层跳转完成上游登出，因此可以正常运行，但不符合OpenID Connect登出的标准实现逻辑，后期维护成本较高。

按照以下步骤调整配置即可解决问题：

1. 替换会话管理引用
   将你现有技术配置文件中<UseTechnicalProfileForSessionManagement ReferenceId="SM-SocialLogin"/>这一行，替换为：

<UseTechnicalProfileForSessionManagement ReferenceId="SM-OpenIdConnect"/>

SM-OpenIdConnect是B2C专门为OpenID Connect协议的联合身份提供商设计的会话管理组件，不会使用iframe调用上游登出端点，而是直接通过顶层重定向完成上游登出流程。

2. 补充技术配置元数据
   在Company-OpenIdConnect的<Metadata>节点下新增两个配置项：

<!-- 显式指定上游Azure AD的登出端点 -->
<Item Key="end_session_endpoint">https://login.microsoftonline.com/tenantID/oauth2/v2.0/logout</Item>
<!-- 开启登出能力 -->
<Item Key="logout_enabled">true</Item>

3. 配置上游Azure AD企业应用的登出回调地址
   打开你创建的Azure AD企业应用的「身份验证」配置页，在Web平台的重定向URI列表中，添加B2C的登出回调地址，格式为：

https://<你的B2C域名>.b2clogin.com/<你的B2C租户域名>/<你的自定义策略ID>/oauth2/v2.0/logout

该配置用于让上游Azure AD完成登出后，可以跳转回B2C继续后续流程。

4. 配置应用侧登出参数
   你的业务应用发起B2C登出请求时，正常携带post_logout_redirect_uri参数即可，该地址需要提前添加到B2C侧应用注册的登出重定向URI列表中，确保全链路登出完成后可以跳转回你的业务应用。

该方案完全符合OpenID Connect的前端信道登出规范，所有登出逻辑统一在B2C自定义策略中管理，不需要修改业务应用的登出调用逻辑，也不需要硬编码跳转链，后期维护成本更低。

内容的提问来源于stack exchange，提问作者Rasmus Sloth Jensen