使用WSFederationAuthenticationModule时，会话到期后如何正确处理注销请求？

Question

我正在使用WSFederationAuthenticationModule进行身份验证。 当用户未通过身份验证时，它将相应地将其重定向到ADFS Web代理。 ADFS cookie的持续时间比应用程序会话的时间长，因此有时它们会直接循环回到应用程序中。

几乎每次这都是我想要的，用户尝试做一些事情，如果会话过期，它将重定向它们，然后它们重新出现（重新登录后或发现cookie仍然很好之后），然后他们可以做他们想要的。 但是， 如果他们单击“注销”，我希望他们被注销 。 但是模块正在拦截并将它们发送回去，一旦会话恢复，它们就必须再次单击“注销”。

注销是MVC API控制器操作。 我不确定是否要从安全性中删除它，因为它还会触发该应用程序的一些清理工作（我意识到这也是一个问题，因为如果他们从不单击注销，则可能不会发生这些事情，但这是一个不同的问题）。

我觉得我一定缺少WSFederationAuthenticationModule和ADFS所提供的功能...使注销操作成为匿名/公共操作不正确。 WSFederationAuthenticationModule的意图必须对此进行一些考虑，但我似乎无法确定。

Answer 1

据我了解，您的身份验证是通过Auth cookie保留的。 您应该尝试在注销操作下将以下内容添加到应用程序控制器中：

     FederatedAuthentication.SessionAuthenticationModule.SignOut();
     return View("LogOut");

这将注销他们。 现在，如果未经身份验证的人员无法访问“注销”视图，它将重定向回您的登录页面进行登录。 还有一件事，如果您的意思是在会话过期后，当某人尝试访问注销页面时（尽管他们的会话已经过期），他们将首先重定向到登录模块进行身份验证（因为需要进行身份验证）访问注销页面），可以执行以下操作：

     if (User.Identity.IsAuthenticated)
         ...u'r logout logic goes here together with other clean-up...
     else
         ...u could choose to return a view which says he is already logged out

或在登录服务端（如果您控制的话）检查请求的来源并采取相应措施。