CAS 6.6.15.1基于OIDC委托登录Microsoft B2C时缺失state参数报错

报错中的Missing state parameter指的是OIDC协议用于防CSRF的state参数，并非CAS WebFlow的流转状态。从配置和日志来看，核心问题出在回调URL配置及流程参数设置上，具体修正步骤如下：

1. 修正回调URL配置 #

当前配置的callback-url指向CAS主登录页${cas.server.prefix}/login，这会导致CAS WebFlow初始化时覆盖或无法识别OIDC回调携带的state参数。需改为CAS官方指定的委托登录回调端点：

cas.authn.pac4j.oidc[0].generic.callback-url=${cas.server.prefix}/login/callback

同时，结合你设置的callback-url-type=PATH_PARAMETER，需在EntraID B2C的应用注册中将回调URL配置为对应格式，例如：
https://your-cas-server-domain/cas/login/callback/b2cclient

2. 调整OIDC流程类型（建议） #

当前使用response-type=id_token属于Implicit Flow，该流程安全性较低且pac4j对其state参数的容错性较差。建议改为更安全的Authorization Code Flow：

cas.authn.pac4j.oidc[0].generic.response-type=code

此流程下state参数的存储与验证逻辑更稳定，且符合OIDC最佳实践。

3. 移除自动重定向的冗余配置 #

auto-redirect-type=SERVER会跳过CAS登录页的状态初始化流程，可能导致state参数无法正确存入会话。若需自动重定向到B2C登录，改用默认客户端配置替代：

cas.authn.pac4j.core.default-client=b2cclient

4. 验证会话存储有效性 #

确保嵌入式Tomcat的会话存储正常工作，检查CAS配置中是否存在禁用会话或修改会话Cookie的配置。单实例部署下默认会话配置即可满足需求，无需额外调整。

完成上述配置修改后，重启CAS服务并重新测试委托登录流程，即可解决state参数缺失的500错误。

内容的提问来源于stack exchange，提问作者Micho Rizo