.NET Core Web App使用Azure AD认证时无法登出求助

我太懂这个问题的糟心程度了——明明调用了登出代码，换账号登录却直接跳回之前的用户会话。核心问题是你只处理了本地的认证Cookie，但Azure AD云端的用户会话还没被注销，微软身份服务会自动静默登录之前的用户。

问题根源分析 #

你之前尝试的代码要么只清除了本地Cookie，要么没有正确触发Azure AD的全局登出请求。比如HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme)只会删掉Web App本地的认证凭证，但Azure AD那边的用户会话依然存在，导致再次访问时直接自动登录。

正确的登出实现方案 #

要彻底完成登出，必须同时做两件事：

1. 清除Web App本地的认证Cookie
2. 向Azure AD发送登出请求，清除云端的用户会话

1. 控制器中的登出方法实现

在你的Account控制器（或负责处理登出的控制器）中添加以下代码：

using Microsoft.AspNetCore.Authentication;
using Microsoft.AspNetCore.Authentication.Cookies;
using Microsoft.AspNetCore.Authentication.OpenIdConnect;

public async Task<IActionResult> Logout()
{
    // 第一步：清除本地Cookie认证会话
    await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
    
    // 第二步：触发Azure AD的OpenID Connect登出，跳转至Azure页面清除云端会话
    await HttpContext.SignOutAsync(OpenIdConnectDefaults.AuthenticationScheme);
    
    // 登出完成后跳转至首页或登录页
    return RedirectToAction("Index", "Home");
}

2. 配置OpenID Connect的登出回调地址

确保在认证配置中（.NET 6+用Program.cs，老版本用Startup.cs）设置PostLogoutRedirectUri，这样Azure AD完成登出后能正确跳转回你的应用：

// .NET 6+ Program.cs示例
builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie()
.AddOpenIdConnect(options =>
{
    options.ClientId = builder.Configuration["AzureAd:ClientId"];
    options.Authority = $"https://login.microsoftonline.com/{builder.Configuration["AzureAd:TenantId"]}/v2.0";
    options.PostLogoutRedirectUri = builder.Configuration["AzureAd:PostLogoutRedirectUri"]; // 示例：https://你的应用域名.com/home/index
    options.SaveTokens = true;
    // 其他必要配置...
});

额外排查要点 #

• 浏览器缓存与第三方Cookie：部分浏览器会缓存Azure AD会话，或默认阻止第三方Cookie，导致登出不彻底。建议用隐私窗口测试，或手动清除浏览器的缓存和Cookie。
• Azure门户应用配置：检查Azure门户中你的应用注册的「注销URL」是否和PostLogoutRedirectUri一致，确保两端配置匹配。
• Azure AD B2C特殊处理：如果用的是Azure AD B2C，需要在登出时指定SignOutPolicyId，代码调整为：

  await HttpContext.SignOutAsync(OpenIdConnectDefaults.AuthenticationScheme, new AuthenticationProperties
  {
      RedirectUri = "/home/index"
  });
  

  同时在OpenID Connect配置中设置SignOutScheme = OpenIdConnectDefaults.AuthenticationScheme并指定对应的PolicyId。

按这个流程操作后，应该就能彻底清除用户会话，再次登录时会要求输入新的账号密码了。

内容的提问来源于stack exchange，提问作者Surya Garimella