我目前有一个正在运行的Identity Server 4实例，该实例用于保护本机移动应用程序（iOS和Android）访问的API。对于这些移动应用程序，我们要求注销过程中要删除从Identity Server接收到的令牌（例如，不往返于Identity Server）。
我们目前在上述情况下面临的问题是，当用户注销并立即尝试再次登录时，由于存在来自以下位置的Identity Server Auth cookie，浏览器“认为”该用户已通过身份验证第一次登录。
目前，我们的Identity Server配置使用Asp.Net Core身份标识和Quickstart UI，并且我能够通过将ASP.NET Core Identity cookie的有效期更改为1秒来纠正这种情况，如下所示：
services.AddIdentity<UserEntity, ApplicationRoleEntity>()
.AddEntityFrameworkStores<UserContext>()
.AddDefaultTokenProviders();
services.ConfigureApplicationCookie(options =>
{
options.ExpireTimeSpan = TimeSpan.FromSeconds(1);
});
由于Auth cookie现在在一秒钟后过期，因此当用户退出本机应用程序并立即尝试再次登录时，将向他们显示Identity Server登录UI，并且登录按预期进行。
但是，上述更改显然会在浏览器中使用时（而不是作为登录的一部分）对Quickstart UI本身的使用产生影响，因为当Cookie一秒钟后过期时，用户会立即从快速登录中注销启动应用程序。
我希望在这里实现的可能是将ASP.Net Core Identity cookie与Identity Server使用的Auth Cookie分开-基本上是为了使Native App可以继续按原样运行（使用Identity Server Auth cookie，是无效的，因此登录后立即无效，因为这时我们有了令牌），但用户可以在浏览器中使用快速入门用户界面，而该应用的Cookie不会立即过期。
回顾了我的原始帖子后，总结此要求的最简单方法是，通过本地应用程序登录时，即使浏览器具有有效的身份验证Cookie，我也要求用户始终必须经过登录过程用于身份服务器。这意味着退出过程可以简单地删除本地存储的令牌，因为当用户尝试再次登录时，他们将再次经历登录过程。
我现在有一个似乎可以满足我的要求的解决方案，其中涉及为ASP.NET Core Identity和Identity Server使用的应用程序cookie创建一个CookieEvents类。启动时的设置如下。
services.ConfigureApplicationCookie(options =>
{
options.EventsType = typeof(CookieEvents);
});
在CookieEvents类中，当授权端点发生登录事件时，我将新项目添加到AuthenticationItems.Items字典中。在将来从本机移动应用程序登录到授权端点的请求时（我使用CookieEvents的ValidatePrincipal中的查询字符串中的client_id进行标识），然后检查是否存在添加到Cookie中的项目，如果找到，则主体为拒绝，这将迫使用户再次进行登录过程，即使用于登录的浏览器具有有效的身份验证cookie。下面的CookieEvents类的示例（为简便起见，删除了私有方法）
public override Task SigningIn(CookieSigningInContext context)
{
if (IsRequestToAuthorizeEndpoint(context.Request) &&
!context.Properties.Items.ContainsKey("signed-in"))
{
context.Properties.Items.Add("signed-in", "true");
}
return base.SigningIn(context);
}
public override Task ValidatePrincipal(CookieValidatePrincipalContext
context)
{
if (IsNativeAppSignIn(context.Request) &&
context.Properties.Items.ContainsKey("signed-in"))
{
context.RejectPrincipal();
return Task.CompletedTask;
}
return base.ValidatePrincipal(context);
}
在测试中，这似乎很好用，并且意味着如果用户在浏览器中使用实际的UI，则由于1秒的到期时间不再存在，他们现在不再立即退出。
这种方法是否有明显的陷阱，可作为一种解决方案，即使用户的浏览器具有身份验证Cookie，也总是希望用户在从本机应用程序登录时经历登录流程？