ADFS WS-Federation登出时忽略wreply参数，重定向至默认登出页而非我的应用页面

嗨，我来帮你搞定这个登出重定向的问题！我之前对接ADFS 2019的时候也碰到过一模一样的情况，核心问题基本都是ADFS端的配置限制，咱们一步步来排查解决：

1. 先搞定ADFS依赖方信任的允许重定向列表 #

ADFS默认会严格校验wreply参数，只有把你的目标URL加入到依赖方信任的允许列表里，它才会执行重定向，否则就会停在自带的登出页面。操作步骤如下：

• 打开ADFS管理控制台，找到对应你应用的依赖方信任（也就是对应https://fdfp.oc.gov.ma/Workflow/的那个）
• 右键点击它，选择属性，切换到终结点标签页
• 点击添加按钮，在弹出的窗口里：
  • 类型选择WS-Federation
  • 信任URL填入你的登出重定向地址：https://fdfp.oc.gov.ma/Workflow/login.aspx
  • 点击确定保存

如果习惯用PowerShell的话，也可以直接执行这条命令（记得替换成你的依赖方名称）：

Set-AdfsRelyingPartyTrust -TargetName "你的应用依赖方名称" -ReplyUrls @("https://fdfp.oc.gov.ma/Workflow/login.aspx", "https://fdfp.oc.gov.ma/Workflow/")

注意要把应用所有需要用到的reply地址都加进去，包括登录时的回调地址。

2. 调整应用端的登出逻辑细节 #

你的OWIN代码和后台逻辑整体没问题，但有两个小地方可以优化，避免意外：

• 清除Cookie的时候，最好显式指定域名和路径，确保Cookie完全清除
• 登出操作的顺序调整一下，先清除本地Cookie认证，再触发ADFS的登出

修改后的后台代码：

protected void btnLogout_Click(object sender, EventArgs e)
{
    Session.Clear();
    Session.Abandon();

    // 彻底清除所有Cookie
    if (Request.Cookies != null)
    {
        foreach (string cookie in Request.Cookies.AllKeys)
        {
            var deleteCookie = new HttpCookie(cookie)
            {
                Expires = DateTime.Now.AddDays(-1),
                Domain = Request.Url.Host, // 匹配当前域名，确保清除干净
                Path = "/" // 覆盖根路径下的Cookie
            };
            Response.Cookies.Add(deleteCookie);
        }
    }

    var owinCtx = HttpContext.Current.GetOwinContext();
    // 先登出本地Cookie认证，再触发ADFS的登出流程
    owinCtx.Authentication.SignOut(CookieAuthenticationDefaults.AuthenticationType);
    owinCtx.Authentication.SignOut(WsFederationAuthenticationDefaults.AuthenticationType);
}

3. 检查ADFS全局登出配置 #

还有个容易忽略的点：ADFS的全局设置可能会影响登出重定向行为：

• 打开ADFS管理控制台，进入服务 -> 终结点，找到WS-Federation类型的登出终结点，确保它是启用状态
• 右键点击ADFS服务器名称，选择属性，切换到高级标签页，确认勾选了类似“允许登出后重定向”的选项（ADFS 2016/2019里这个选项默认是开启的，但最好确认一下）

4. 最后验证细节 #

• 确保你的wreply地址和ADFS里配置的完全一致，包括大小写、路径（比如有没有多余的斜杠），ADFS对这个匹配要求很严格
• 测试前清空浏览器的缓存和Cookie，避免旧会话数据干扰测试结果

按照上面的步骤操作完，应该就能让ADFS乖乖按照wreply参数重定向回你的应用登录页了！

备注：内容来源于stack exchange，提问作者Oussama hdidou