idsrv3多端登录限制问题：令牌吊销后登录重定向异常

我来帮你拆解下这个问题——你遇到的核心矛盾是：虽然吊销了旧端的reference token，但IdentityServer3的单点登录（SSO）会话还在旧浏览器里“存活”，所以当旧端调用signinRedirect重定向到登录页时，idsrv3直接复用了现有SSO会话，跳过用户验证环节自动发新令牌了。结合你的场景（implicit flow + reference tokens + AngularJS客户端），给你几个落地的解决步骤：

一、先搞懂问题根源 #

当用户在Firefox登录触发旧令牌吊销时，你只处理了reference token的失效，但：

• Chrome浏览器里还保留着idsrv3的SSO认证cookie（默认是.AspNet.Cookies，自定义配置可能是其他名称）
• 旧端重定向到idsrv3时，请求会带着这个cookie，idsrv3检测到用户已有有效SSO会话，就直接颁发新令牌，不会让用户输入账号密码

二、具体解决方案 #

1. 吊销reference token时，同步吊销对应的SSO会话 #

在idsrv3中，每个用户的SSO会话都对应一个唯一的SessionId（可从用户ClaimsPrincipal里的http://schemas.microsoft.com/ws/2008/06/identity/claims/sid声明获取）。你需要在颁发reference token时绑定令牌与SessionId，新登录时吊销该用户所有旧SSO会话：

步骤细节：

• 颁发reference token时记录关联关系：
  在idsrv3的ICustomTokenService或令牌颁发事件中，获取当前会话的SessionId，将其与token值一起存储到数据库/缓存中（比如用Redis存用户ID到SessionId列表的映射）。
• 用户新登录时清理旧会话：
  查询该用户所有活跃的SessionId，调用idsrv3的ISessionService删除这些会话：

// 注入ISessionService
var sessionService = DependencyResolver.Current.GetService<ISessionService>();
// 假设你从存储中拿到了该用户的旧SessionId列表
foreach (var oldSessionId in userOldSessionIds)
{
    await sessionService.RemoveSessionAsync(oldSessionId);
}

这样旧浏览器里的SSO cookie会被标记为失效，下次重定向到登录页时就必须重新验证了。

2. 优化AngularJS客户端的401处理逻辑 #

当API返回401时，不要直接调用signinRedirect，先清除客户端本地存储的旧认证信息（oidc-client的UserManager会把用户信息存在localStorage/sessionStorage里）：

// 假设你初始化了UserManager实例
var userManager = new Oidc.UserManager(config);

// 处理401的逻辑
function handle401() {
    userManager.removeUser()
        .then(function() {
            // 清除本地信息后再重定向，避免残留数据干扰
            userManager.signinRedirect();
        })
        .catch(function(err) {
            console.error('清除用户信息失败:', err);
            userManager.signinRedirect();
        });
}

3. 强制登录页要求重新验证（兜底方案） #

如果上面的会话同步还是有遗漏，可以在调用signinRedirect时添加prompt=login参数，强制idsrv3忽略现有SSO会话，必须让用户重新输入凭证：

userManager.signinRedirect({ prompt: 'login' });

这个参数是OIDC标准参数，idsrv3完全支持，相当于强制“重新登录”，不管有没有现有会话。

三、验证流程 #

1. 用户A在Chrome登录，获取reference token，后台记录该令牌关联的SessionId
2. 用户A在Firefox登录，后台查询用户A的所有旧SessionId，调用RemoveSessionAsync吊销，同时吊销旧reference token
3. Chrome端调用API，返回401
4. 客户端清除本地用户信息，调用带prompt=login的signinRedirect
5. 重定向到idsrv3登录页，此时不会自动登录，必须用户输入账号密码才能继续

内容的提问来源于stack exchange，提问作者Alpagut