.NET Core 中如何在AccessDenied视图展示后立即注销用户并删除会话令牌

核心时序要求：必须先保证AccessDenied页面完整渲染、用户能看到提示，再执行注销逻辑，不能在返回视图前直接触发登出，否则会导致页面无法正常加载。

控制器调整 #

保留原有权限校验逻辑，仅在返回无权限视图时，给视图传递登出接口的路由地址；原有登出方法不需要做额外修改，因为SignOut本身已经完成了Cookie清除、OIDC会话注销的全流程：

public async Task<IActionResult> AccessDenied() 
{
    bool haspermission = await _signInService.SignInCurrentUserAsync();
    if (haspermission)
    {              
        return Redirect(redirectUrl);            
    }
    // 给视图传递登出接口地址，供前端页面加载完成后调用
    ViewBag.LogoutPath = Url.Action(nameof(LogOut), "AccountController");
    return View();
}

public IActionResult LogOut()
{
    // 原有逻辑无需修改，该方法会自动清理本地认证Cookie、触发OIDC端会话注销
    return SignOut("Cookies", "oidc");
}

视图调整 #

在原有AccessDenied的cshtml代码末尾，增加页面加载完成后的自动登出触发逻辑，加短暂延迟保证用户能清晰看到无权限提示：

@addTagHelper *, Microsoft.AspNetCore.Mvc.TagHelpers
@{
    Layout = null;
}
<br />
<br />
<br />
<center>
    <h3>Access Denied</h3>
    <h4>You do not have sufficient rights to access.</h4>
</center>

<script>
    // 等页面所有资源、元素加载完成后再触发登出
    window.onload = function() {
        // 延迟2秒跳转，避免页面刚渲染就跳走，用户看不到提示内容
        setTimeout(() => {
            window.location.href = '@ViewBag.LogoutPath';
        }, 2000);
    }
</script>

关键注意事项 #

• 严禁 在return View()之前直接调用SignOut：SignOut会返回带Cookie清除头、302重定向的响应，会直接覆盖视图返回结果，导致AccessDenied页面根本无法展示，完全违背需求时序
• 原有登出方法的SignOut("Cookies", "oidc")已经满足会话、令牌清理要求：该方法会自动删除本地认证Cookie、触发OIDC中间件向身份提供方发起会话注销请求，不需要额外手动操作缓存、会话中的令牌数据
• 如果需要在页面展示阶段就提前作废有效令牌（避免用户在看提示的2秒内还能用原有令牌操作），可以在返回View之前，通过现有_signInService调用身份提供方的令牌吊销接口，提前让原有令牌失效，等前端跳转登出接口时仅需清理本地Cookie即可

内容的提问来源于stack exchange，提问作者user10216769