从外部提供商注销后，Identity Server登录流卡住

Question

我使用的是Identity Server 4，3.1.1版本，当外部提供者使用WS-Federation时，我从SPA客户端注销后出现了一种奇怪的行为。我目前使用ADFS作为外部提供程序，它是按照本指南配置的：https://docs.microsoft.com/en-us/aspnet/core/security/authentication/ws-federation?view=aspnetcore-3.1

细节

当用户注销时，会发生这样的情况：外部提供商的注销受到挑战-

问题我跟踪了请求重定向，它们让我在Account tController（Quickstart UI）上找到以下代码

225 [HttpPost]
226 [ValidateAntiForgeryToken]
227 public async Task<IActionResult> Logout(LogoutInputModel model)
228 {
229    // build a model so the logged out page knows what to display
230    var vm = await BuildLoggedOutViewModelAsync(model.LogoutId);
231
232    if (User?.Identity.IsAuthenticated == true)
233    {
234        // delete local authentication cookie
235        await _signInManager.SignOutAsync();
236
237        // raise the logout event
238        await _events.RaiseAsync(new UserLogoutSuccessEvent(User.GetSubjectId(), User.GetDisplayName()));
239    }
240
241    // check if we need to trigger sign-out at an upstream identity provider
242    if (vm.TriggerExternalSignout)
243    {
244        // build a return URL so the upstream provider will redirect back
245        // to us after the user has logged out. this allows us to then
246        // complete our single sign-out processing.
247        string url = Url.Action("Logout", new { logoutId = vm.LogoutId });
248
249        // this triggers a redirect to the external provider for sign-out
250        return SignOut(new AuthenticationProperties { RedirectUri = url }, vm.ExternalAuthenticationScheme);
251     }
252
253    return View("LoggedOut", vm);
254 }

当用户注销时，将到达第250行，并使用指向 /Account/Logout的重定向url调用外部供应商的注销。logoutId={logout-id}但是当该请求到达时，用户已经从身份服务器注销，显然是因为在重定向到ADFS之前在第235行调用了注销，因此，在处理重定向时身份验证受到挑战，用户被重定向到 /Login页面。

我需要以不同的方式配置以正确处理最后一次重定向？我想这不是身份服务器的错误，但这意味着注销流程不会像我预期的那样工作，那么这个注销流程将如何工作？我在github上发布了一个类似的问题，但到目前为止还没有答案：https://github.com/IdentityServer/IdentityServer4/issues/5204

提前感谢

Answer 1

对Logout的GET请求应允许匿名请求。