ADFS 4.0移动端认证：禁用浏览器会话Cookie及解决登录循环问题

针对你遇到的ADFS 4.0搭配移动应用OIDC/OAuth2认证的Cookie残留问题，我结合ADFS原生应用的特性整理了几个实用解决方案：

1. 用认证请求参数强制触发重新登录 #

既然你的应用是原生应用，首先确保你采用的是Authorization Code Flow with PKCE（这是原生应用的标准推荐流程，ADFS 4.0完全支持）。在此基础上，你可以在发起认证请求时添加两个关键参数，直接绕过浏览器中残留的会话Cookie：

• prompt=login：强制ADFS忽略现有会话，要求用户必须重新输入凭据，彻底避免自动登录的情况。
• max_age=0：告诉ADFS必须立即重新验证用户身份，不能依赖任何已有的会话信息。

这两个参数可以单独使用，也可以组合使用，能直接打破“验证失败却无法重新登录”的循环。

2. 配置ADFS禁用原生应用的持久化Cookie #

你可以通过PowerShell直接修改ADFS中你的原生应用配置，禁止它创建持久化的会话Cookie：

1. 先运行命令找到你的应用的ClientID：

   Get-AdfsNativeClientApplication
   

2. 然后执行命令禁用持久化SSO：

   Set-AdfsNativeClientApplication -TargetClientId "你的应用ClientID" -PersistentSsoEnabled $false
   

这个配置生效后，ADFS不会为该原生应用在浏览器中存储持久化Cookie，浏览器关闭后会话就会完全失效，从根源上避免残留Cookie的问题。

3. 优化登出流程彻底清除ADFS会话 #

你目前的登出只是调用ADFS登出页面，建议优化成标准的OIDC登出流程，确保彻底清除会话Cookie：

• 先从ADFS的元数据端点（https://你的ADFS域名/adfs/.well-known/openid-configuration）获取end_session_endpoint地址。
• 发起登出请求时，带上id_token_hint参数（用户登录后获取的ID Token），这样ADFS会精准清除对应用户的会话Cookie，而不是只做页面跳转。
• 登出完成后再跳转回你的移动应用，确保下次登录时浏览器没有残留的会话信息。

4. API验证失败时主动触发重新认证 #

当你的API验证用户身份失败时，不要仅返回错误提示，而是让移动应用主动发起一个带prompt=login参数的新认证请求。这样用户在收到验证失败的反馈后，会直接进入重新登录流程，而不是被现有Cookie卡住。

总结 #

原生应用的OIDC认证流程本就不应该依赖浏览器的会话Cookie，优先推荐你结合PKCE流程+prompt=login参数来强制重新认证，同时配合ADFS的应用配置禁用持久化Cookie，再优化登出流程彻底清除会话，就能完美解决你遇到的问题。

内容的提问来源于stack exchange，提问作者Clx3