Azure AD B2C会话未过期问题：ASP.NET MVC应用配置咨询

架构老林

2026-5-26

我来帮你一步步排查和解决这个Azure AD B2C会话未按预期过期的问题，结合你给出的配置细节，咱们从几个关键方向入手：

1. 先确认ASP.NET MVC应用端的Cookie配置是否正确

应用端的认证Cookie和Azure AD B2C的会话是联动的，首先得确保本地Cookie的滚动超时逻辑正常：

检查Startup.cs里的Cookie认证配置，确认是否明确设置了滚动超时参数：

services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.ExpireTimeSpan = TimeSpan.FromMinutes(20);
        options.SlidingExpiration = true; // 启用滚动超时
        options.Cookie.HttpOnly = true;
        options.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 生产环境建议开启
    })
    .AddOpenIdConnect(options =>
    {
        // 其他B2C配置...
        options.TokenValidationParameters = new TokenValidationParameters
        {
            NameClaimType = "name",
            RoleClaimType = "role",
            ValidateIssuer = true
        };
    });

确认应用是否正确处理了tfp声明（你配置里指定它代表策略ID），B2C的会话是和用户策略绑定的，应用需要正确识别这个声明来关联会话，避免出现策略不匹配导致的会话残留。

2. 验证Azure AD B2C端的会话配置是否生效

你的B2C配置里已经设置了Web应用会话20分钟滚动超时，但要确保这个配置真的应用到了对应的用户流/自定义策略上：

如果使用的是用户流：登录Azure门户，进入你的B2C租户，找到对应的用户流，检查「会话行为」里的配置是否和你描述的一致，尤其是Web应用会话生存期和Web应用会话超时（滚动），以及单点登录配置=应用程序请求。

如果使用的是自定义策略：需要手动在策略XML的<UserJourneyBehaviors>节点下添加会话过期配置，否则门户的设置可能不生效：

<UserJourneyBehaviors>
  <!-- 匹配你的SSO配置：应用程序请求 -->
  <SingleSignOn Scope="Application" />
  <!-- 设置20分钟滚动会话 -->
  <SessionExpiry>
    <SessionExpiryType>Rolling</SessionExpiryType>
    <SessionExpiryInSeconds>1200</SessionExpiryInSeconds>
  </SessionExpiry>
</UserJourneyBehaviors>

利用max_age参数强制B2C检查会话：因为你的SSO配置是「应用程序请求」，应用可以在认证请求中添加max_age=1200（20分钟的秒数），这样B2C会验证用户的会话是否在20分钟内活跃，否则强制重新登录。在MVC应用里，可以在认证挑战时添加这个参数：
```
return Challenge(new AuthenticationProperties
{
    RedirectUri = "/"
}, 
OpenIdConnectDefaults.AuthenticationScheme,
new Dictionary<string, string> { { "max_age", "1200" } });
```

3. 排查刷新令牌的影响

你的刷新令牌生存期是14天，滑动窗口90天，这可能导致会话被意外续期：

检查应用是否启用了自动刷新令牌的逻辑：如果应用在Cookie快过期时自动用刷新令牌获取新的访问/ID令牌，会触发B2C的会话滑动，导致会话看起来没过期。可以检查OpenIdConnectOptions里的UseTokenLifetime设置——如果设为true，应用Cookie的过期时间会和ID令牌一致；如果设为false，应用可以独立控制Cookie过期时间，但刷新令牌操作仍可能延长B2C会话。
如果你希望严格遵守20分钟的会话超时，可以限制刷新令牌的使用场景，或者在刷新时额外检查会话的活跃时间。

4. 测试会话过期场景，排除浏览器/缓存干扰

有时候浏览器缓存或残留的Cookie会导致测试结果不准确：

用浏览器的隐私模式（无痕窗口）测试，避免缓存的会话Cookie干扰。
手动清除应用端的Cookie（通常是你的应用域名下的.AspNetCore.Cookies）和B2C的会话Cookie（*.b2clogin.com域下的Cookie），然后重新登录，观察20分钟后是否需要重新认证。
用浏览器开发者工具（F12）查看Cookie的过期时间，确认应用Cookie和B2C Cookie的过期时间是否正确设置为滚动更新的20分钟。

5. 额外排查点

检查是否存在跨应用SSO会话：如果用户之前登录过同租户的其他B2C应用，可能导致会话共享，但你的SSO配置是「应用程序请求」，理论上不会跨应用共享会话，可以测试只登录你的应用再观察。
确认注销逻辑是否彻底：应用注销时，是否同时向B2C发送注销请求，清除B2C的会话？如果注销不彻底，可能导致会话残留。比如在MVC应用的注销方法里，需要调用SignOut并指定OpenIdConnect和Cookie方案：
```
return SignOut(
    new AuthenticationProperties { RedirectUri = "/" },
    CookieAuthenticationDefaults.AuthenticationScheme,
    OpenIdConnectDefaults.AuthenticationScheme);
```

按照上面的步骤逐一排查，应该能定位到会话未按预期过期的原因。通常最常见的问题是应用端Cookie配置与B2C策略配置不匹配，或者应用没有正确传递max_age参数来强制B2C检查会话超时。

内容的提问来源于stack exchange，提问作者Vicky