如何在应用侧检测AAD B2C会话Cookie是否缺失？

关键前提 #

由于目标Cookie标记为HttpOnly，前端JS无法直接读取，必须通过服务器侧逻辑或AAD B2C原生接口来检测，你之前服务器读取失败大概率是配置或请求处理环节出了问题。

具体解决路径 #

1. 修复服务器读取Cookie的问题 #

• 域匹配检查：确认AAD B2C会话Cookie的Domain是否与你的应用服务器域名一致。如果Cookie域是xxx.b2clogin.com这类第三方域，你的服务器无法跨域读取，需要在AAD B2C的会话配置里，将Cookie的Domain设置为你的应用根域名（比如your-app.com），确保请求能携带Cookie到服务器。
• 请求头校验：在服务器端打印请求的Cookie头，确认目标会话Cookie是否被携带。如果没有，检查浏览器的跨域Cookie策略（比如是否开启了SameSite属性限制）。
• 解析逻辑验证：根据服务器技术栈确认Cookie解析是否正确——比如Node.js要启用cookie-parser中间件，Java要调用request.getCookies()方法，避免因解析错误导致读不到Cookie。

2. 服务器侧检测与强制登出逻辑 #

当服务器能正常读取Cookie后，在所有受保护接口的前置拦截器中添加检测：

• 检查请求中是否存在AAD B2C的会话Cookie（比如你截图中的ARRAAuthCookie类名称）。
• 若Cookie缺失，同步校验前端localStorage中存储的access token有效性：调用AAD B2C的token验证端点（格式为https://{tenant}.b2clogin.com/{tenant}.onmicrosoft.com/{policy}/oauth2/v2.0/token），确认token是否过期或无效。
• 一旦Cookie缺失且token无效，直接返回401 Unauthorized状态码，触发前端登出流程。

3. 前端配合处理 #

• 封装全局请求拦截器，捕获服务器返回的401状态，立即清除localStorage中的access token，跳转到登录页面。
• 在应用初始化阶段（比如首页加载完成），发起一个轻量的校验请求（如/api/check-session），让服务器提前检测Cookie状态，避免用户操作后才触发登出。

备选方案（无法调整Cookie域时） #

如果无法修改AAD B2C的Cookie域配置，可以通过AAD B2C的原生会话检查接口间接判断：

• 前端发起带prompt=none参数的授权请求：https://{tenant}.b2clogin.com/{tenant}.onmicrosoft.com/{policy}/oauth2/v2.0/authorize?client_id={clientId}&response_type=id_token&redirect_uri={redirectUri}&prompt=none
• 如果接口返回login_required错误，说明会话Cookie已丢失，此时前端清除localStorage并跳转登录页。

内容的提问来源于stack exchange，提问作者KaeL