使用C#无法清除IdentityServer4(IDS4)登录生成的Cookie如何解决

你遇到的问题核心原因是删除Cookie时参数不匹配，或者响应逻辑、前端调用配置不正确，按以下步骤逐一排查即可解决： #

第一步：补全登出认证Schema #

你的登出代码中遗漏了IDS4原生的认证Schema登出，先补充对应逻辑：

public async Task<IActionResult> LogOut([FromQuery] string logoutId)
{
  LogoutRequest context = await InteractionService.GetLogoutContextAsync(logoutId);

  bool? isLoggedIn = User?.Identity.IsAuthenticated;
  isLoggedIn |= User.IsAuthenticated();

  // 补充所有相关Schema登出
  await HttpContext.SignOutAsync();
  await HttpContext.SignOutAsync(IdentityConstants.ApplicationScheme);
  await HttpContext.SignOutAsync(IdentityConstants.ExternalScheme);
  await HttpContext.SignOutAsync("idsrv");
  await HttpContext.SignOutAsync("idsrv.external");
  await HttpContext.SignOutAsync("Identity.TwoFactorRememberMe");
  await HttpContext.SignOutAsync("Identity.TwoFactorUserId");
  
  // 后面接删除Cookie的逻辑
}

第二步：删除Cookie时传入匹配的属性参数 #

浏览器删除Cookie的规则是：必须和原始写入Cookie的Domain、Path、Secure、HttpOnly、SameSite属性完全一致，否则删除指令会被忽略。
你可以先打开浏览器F12的「应用/存储」标签，找到目标Cookie的对应属性，原样填写到删除参数中：

// 以下参数必须和你服务注册Identity/IDS4时的Cookie配置、实际生成的Cookie属性完全一致
var matchCookieOpts = new CookieOptions
{
    Domain = "你的服务域名（比如localhost、xxx.com，不要带端口）",
    Path = "/", // 如果你把IDS4部署在子路径，这里要写子路径，比如/ids
    Secure = true, // HTTPS环境填true，HTTP本地调试填false
    SameSite = SameSiteMode.Lax, // 和原Cookie的SameSite属性一致
    HttpOnly = true, // 和原Cookie的HttpOnly属性一致
    IsEssential = true
};

Response.Cookies.Delete(".AspNetCore.Identity.Application", matchCookieOpts);
Response.Cookies.Delete("idsrv.session", matchCookieOpts);

第三步：检查响应与前端调用配置 #

• 如果你是前后端分离架构，前端调用登出接口时必须配置credentials: 'include'（axios对应withCredentials: true），否则浏览器不会处理响应返回的Set-Cookie头，自然不会删除Cookie
• 确认登出接口的响应头中存在对应两个Cookie的删除指令：即Set-Cookie字段中存在这两个Cookie，值为空、过期时间设置为1970年的记录，证明删除指令已经正确下发
• 如果你需要返回自定义登出结果，不要覆盖SignOut的响应，确保Set-Cookie头不会被中间件拦截丢弃

按以上步骤操作后，无需重启浏览器就能直接清除这两个Cookie。

内容的提问来源于stack exchange，提问作者Konrad Viltersten