如何实现Microsoft.AspNetCore.Authentication.Facebook每次强制重新登录授权

问题原因 #

你遇到的情况是两个层面的默认逻辑导致的：

1. 本地ASP.NET Core的Cookie认证会缓存用户之前的登录状态，你当前控制器逻辑会优先读取本地缓存的认证信息，存在有效token就直接返回，不会触发跳转到Facebook的授权流程。
2. Facebook OAuth服务默认会保留用户的登录和授权状态，用户已经登录FB且授权过你的应用后，下次授权请求会直接回调返回token，不会弹出登录和权限申请界面。

具体修改方案 #

不需要手动清除用户浏览器的第三方Cookie，只要调整两处代码即可实现需求：

方案1：全局配置强制走完整授权流程 #

在Facebook认证服务注册时添加事件，给所有Facebook授权请求添加强制认证参数，修改你的初始化代码如下：

services.AddAuthentication(x =>
{
    x.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
})
.AddCookie()
.AddFacebook(fb =>
{
    fb.AppId = "784137845529334";
    fb.AppSecret = "7970214b88892ae601923f852ae79fcd";
    fb.SaveTokens = true;
    // 新增：给所有授权请求添加强制登录、强制授权参数
    fb.Events.OnRedirectToAuthorizationEndpoint = context =>
    {
        // prompt=login强制弹出登录页支持切账号，consent强制弹出权限申请页
        context.RedirectUri += "&prompt=login,consent&auth_type=reauthenticate";
        return Task.CompletedTask;
    };
});

方案2：调整控制器逻辑，避免读取本地缓存的认证状态 #

你当前的控制器逻辑会优先校验本地是否已有有效认证，要每次都走完整流程，要么去掉本地校验逻辑，要么在触发授权前先清除本地的认证Cookie：
修改后的控制器代码：

[HttpGet("LoginOrCreateAccount/{scheme}")]
public async Task LoginOrCreateAccount([FromRoute] string scheme)
{
    // 新增：清除本地已缓存的认证信息，确保每次都会触发新的授权流程
    await Request.HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);

    // 可选：如果不需要保留原有逻辑直接注释掉Authenticate相关判断，直接触发Challenge
    var auth = await Request.HttpContext.AuthenticateAsync(scheme);

    if (!auth.Succeeded
        || auth?.Principal == null
        || !auth.Principal.Identities.Any(id => id.IsAuthenticated)
        || string.IsNullOrEmpty(auth.Properties.GetTokenValue("access_token")))
    {
        // 也可以选择在此处给Challenge传入带参数的AuthenticationProperties，代替全局配置
        var properties = new AuthenticationProperties();
        properties.SetParameter("prompt", "login,consent");
        properties.SetParameter("auth_type", "reauthenticate");
        await Request.HttpContext.ChallengeAsync(scheme, properties);
    }
    else
    {
        var claims = auth.Principal.Identities.FirstOrDefault()?.Claims;
        var email = claims?.FirstOrDefault(c => c.Type == System.Security.Claims.ClaimTypes.Email)?.Value;

        var qs = new Dictionary<string, string>
        {
            { "access_token", auth.Properties.GetTokenValue("access_token") },
            { "refresh_token", auth.Properties.GetTokenValue("refresh_token") ?? string.Empty },
            { "expires", (auth.Properties.ExpiresUtc?.ToUnixTimeSeconds() ?? -1).ToString() },
            { "email", email }
        };

        var url = callbackScheme + "://#" + string.Join("&",
            qs.Where(kvp => !string.IsNullOrEmpty(kvp.Value) && kvp.Value != "-1")
            .Select(kvp => $"{WebUtility.UrlEncode(kvp.Key)}={WebUtility.UrlEncode(kvp.Value)}"));

        Request.HttpContext.Response.Redirect(url);
    }
}

参数说明 #

• prompt=login：强制Facebook弹出登录页面，即使用户已经在Facebook平台登录，也支持切换其他账号
• prompt=consent：强制弹出权限申请界面，即使用户之前已经授权过你的应用
• auth_type=reauthenticate：要求用户重新验证身份（通常是输入密码），进一步确保是账号持有者操作

你可以根据实际需求调整参数组合，如果不需要每次都弹权限申请，只保留prompt=login即可。

内容的提问来源于stack exchange，提问作者Alex Dobrynin