Azure AD B2C登出时如何同步退出外部身份提供商会话？

首先得明确：Azure AD B2C默认的登出流程只会清除自身的SSO状态，不会主动触发外部身份提供商（比如Facebook、Google）的会话注销——这就是为什么你删了本地cookie还是会自动登录的原因，因为外部IDP的会话还在它们自己的域名下存着。

要实现同步登出，你可以试试这几个方法：

• 启用OpenID Connect前端登出（Front-channel logout）
  这是最直接的方式，Azure AD B2C支持这个标准OIDC特性：

  1. 先在你的Azure AD B2C应用注册里，设置Front-channel logout URL（比如你的应用登出后的回调地址）。
  2. 如果用的是用户流，去对应的用户流配置里，找到"属性"标签，开启"Front-channel logout"选项；如果用的是自定义策略，需要在策略里添加前端登出的技术配置文件，让B2C在登出时向外部IDP发送登出请求。
     这个机制会让B2C主动调用外部IDP的登出端点，清除它们的会话。

• 调用end_session端点时携带必要参数
  发起登出请求时，一定要带上id_token_hint和post_logout_redirect_uri这两个参数：

  GET https://{your-tenant}.b2clogin.com/{your-tenant}.onmicrosoft.com/{your-policy}/oauth2/v2.0/logout?id_token_hint={用户的id_token}&post_logout_redirect_uri={你的回调地址}
  

  id_token_hint能让B2C识别用户的会话信息，从而正确触发外部IDP的登出流程；post_logout_redirect_uri确保用户登出后能回到你指定的页面。

• 针对特定IDP的额外配置
  有些外部IDP可能需要额外的配置才能支持登出，比如Google、Twitter这类，你可能需要在自定义策略里为它们配置对应的登出端点URL，确保B2C能正确调用到IDP的注销接口。比如在Google的技术配置文件里，添加LogoutUri参数指向Google的登出地址。

另外要注意：如果你的应用是单页应用（SPA），还要确保前端的登出逻辑正确触发B2C的end_session请求，而不是只清除本地存储的token。

内容的提问来源于stack exchange，提问作者Vetrivel mp