Dot Net Core 2.2 注销行为

【问题标题】：Dot Net Core 2.2 Sign Out behaviorDot Net Core 2.2 注销行为
【发布时间】：2019-12-26 15:10:10
【问题描述】：

拥有 .Net Core 2.2 MVC 应用程序并与 Azure AD 集成用于用户 Azure AD。用户身份验证和注销按预期工作。

但是，如果我们使用 EditThisCookie 扩展从经过身份验证的浏览器会话中复制 cookie AspNetCore.AzureADCookie、.AspNetCore.AzureADCookieC1、.AspNetCore.AzureADCookieC2 并注销，那么如果我们再次将这些复制的 cookie 导入浏览器，我们就可以访问应用程序。应用信任应用并自动登录。

我正在使用 NuGet Microsoft.AspNetCore.Authentication.AzureAD.UI NuGet 包

这是预期的行为吗？

【问题讨论】：

标签： asp.net .net-core azure-active-directory

【解决方案1】：

这取决于您在 Azure AD 租户和应用程序中为用户设置的权限和身份验证配置。如果用户是您的 Azure AD 租户或应用程序的成员，并且您已使用 OpenID Connect 等 MSAL 库设置 SSO，则他们的凭据可能会被存储，并且他们可以默认登录。

您是否想说您不希望您的用户能够使用他们的预验证凭据一键单击 SSO？

https://docs.microsoft.com/en-us/azure/active-directory/manage-apps/configure-authentication-for-federated-users-portal?view=azurermps-5.7.0

https://docs.microsoft.com/en-us/azure/app-service/configure-authentication-provider-aad

【讨论】：

当用户首先明确退出应用程序时，为什么允许 SSO？