基于SAML自定义策略的Azure B2C登出操作异常问题咨询

通用报错的本质原因 #

直跳元数据中登记的SingleLogoutService地址后弹出“无法完成登录流程”的通用错误，背后是两个直接关联的原因：

1. Azure AD B2C的全站通用错误页没有对登录、登出场景的错误文案做区分，不管哪个流程触发的请求校验失败，都会复用同一套登录场景的提示文案，和当前执行的是登出操作没有逻辑冲突。
2. 这个SingleLogoutService端点本身不支持无协议参数的裸访问，只要请求没有携带合法的SAML协议载荷，就会直接触发全局错误兜底，不会进入登出流程。

常见的操作偏差 #

• 未按照SAML绑定要求传递必要协议参数：HTTP-Redirect绑定的SAML登出流程，要求请求必须携带经过压缩、URL编码的SAMLRequest（SP发起登出时）或SAMLResponse（IdP发起登出时）参数，裸访问对应Location地址等同于非法请求，不会被B2C端识别为合法登出动作。
• 错误复用OIDC流程的参数逻辑：尝试添加的post_logout_redirect_uri是OIDC协议登出端点支持的查询参数，SAML层的SingleLogoutService端点本身不识别这个参数，临时在URL上拼接这类参数会被判定为非法请求，直接触发错误页。SAML登出的回调跳转地址，必须提前在自定义策略的SAML技术配置文件中完成登记，不能通过查询参数临时指定。

正确的登出实现路径 #

• 如果是SP端发起SAML登出：需要按照SAML 2.0 HTTP-Redirect绑定规范，生成符合要求的LogoutRequest报文，经过Deflate压缩、URL编码后作为SAMLRequest参数拼接在元数据对应的SingleLogoutService地址上，再引导用户浏览器重定向到这个完整地址，B2C端会校验请求合法性、清除对应的B2C会话、生成登出响应返回SP端。
• 如果需要触发B2C全局会话清除：不要直接跳转SAML层的logout地址，改用B2C公共策略的统一登出端点：
  https://TENANT.b2clogin.com/TENANT.onmicrosoft.com/B2C_1A_你的自定义策略名/oauth2/v2.0/logout
  这个端点会自动清除所有B2C端的本地会话，按照策略配置自动联动完成对应SAML应用的登出流程，登出完成后会跳转到在策略中预先登记的有效回调地址。

排查小技巧：将B2C自定义策略关联的Application Insights日志打开，触发登出请求后直接查看对应请求的错误堆栈，日志会明确标注请求被拒绝的具体原因，不用通过通用错误文案反向猜测问题。

内容的提问来源于stack exchange，提问作者TheWebGuy