Azure ADB2C以Azure AD为身份提供商时单点登出重定向不生效问题

数据老陈

2026-10-4

问题描述

我有一个使用msal的React SPA应用，已将Azure AD配置为AAD B2C的身份提供商，目前可正常执行登录、登出等操作。
我希望用户从我的应用登出时，同时从身份提供商处登出，目前我使用msal的logoutRedirect方法，相关代码如下：

const url = new URL(AadEndSessionEndpoint);
url.searchParams.append('post_logout_redirect_uri', SPAUrl);
instance.logoutRedirect({
  postLogoutRedirectUri: url.toString()
});

当前出现的问题是：用户从AAD B2C登出后，会被重定向到AAD的end_session_endpoint，完成AAD侧登出后页面卡在该位置，即便我已经传递了post_logout_redirect_uri查询参数指定返回应用的地址，该参数也被忽略。

问题原因与解决方案

核心错误点

当前的传参方式不符合MSAL的设计逻辑，同时存在配置侧遗漏，共同导致登出重定向参数被忽略：

MSAL的logoutRedirect方法会自动构造并请求AAD B2C的登出端点，无需手动拼接end_session_endpoint参数，你当前把拼接了查询参数的URL作为postLogoutRedirectUri传入，会导致参数嵌套被上游身份提供商识别失败。
上下游配置未完成对齐，上游Azure AD未认可你传入的登出重定向地址。

具体解决步骤

1. 对齐两侧配置

你用到的post_logout_redirect_uri需要在两个平台完成完全一致的注册：

上游Azure AD应用注册的「身份验证」面板：在「Web」分类下，将该地址分别添加到重定向URI、前端通道注销URL、注销重定向URI三个配置项，地址大小写、路径、末尾斜杠必须和代码里传的完全一致
AAD B2C的Azure AD身份提供商配置：将该地址添加到允许的登出重定向列表，同时在对应B2C用户流的「会话行为」设置中，开启启用单一注销开关

2. 修正代码逻辑

直接传入原始SPA地址即可，MSAL会自动处理登出参数拼接、id_token_hint携带等逻辑，参考代码如下：

// 先获取当前活跃的登录账号，确保MSAL能携带id_token_hint给身份提供商校验
const activeAccount = instance.getActiveAccount();

instance.logoutRedirect({
  account: activeAccount,
  postLogoutRedirectUri: SPAUrl,
  // 替换为你的B2C租户对应的用户流地址
  authority: "https://<你的B2C租户名>.b2clogin.com/<你的B2C租户名>.onmicrosoft.com/<你的用户流ID/名称>"
});

内容的提问来源于stack exchange，提问作者Vivere