为什么Azure AD（或其他OIDC Idp）在注销后要求输入用户凭据进行登录？

Question

我在我的应用程序中通过extrenal IDP开发了一个身份验证。虽然我支持使用OpenId连接协议的两个IDP:Azure、AD和Okta。我的登录页面有用于输入用户凭据的小部件（针对内置用户和从Active Directory导入的域用户）和两个按钮：“使用Microsoft登录”和“使用OKTA登录”。

Answer 1

用户被签出标识提供程序的一个可能原因是，当您调用signout时，代码故意这样做。

例如，如果您正在调用：

HttpContext.GetOwinContext().Authentication.SignOut(AuthTypes.Okta, AuthTypes.Cookies);

您显式地表示，您希望触发对authtypes.cookies（这可能会清除应用程序自己的会话cookies）和authtypes.Okta（这可能包括重定向到Okta以结束会话并清除那里的cookies）的注销。

HttpContext.GetOwinContext().Authentication.SignOut(AuthTypes.Cookies);

之后，当用户再次访问应用程序时，应用程序将不会考虑用户已登录（因为当用户的浏览器访问应用程序时，它将不会显示任何会话cookie）。但是，如果用户再次被发送到Okta或Azure AD，标识提供者为该用户提供的自己的会话cookie仍然存在，并且他们将能够在没有额外提示的情况下进行SSO。

注意：我对authtypes.okta和authtypes.cookies的配置方式做了一些假设，因为问题中没有包括这一点。