如何在单次请求中实现AddOpenIdConnect()的动态配置SSO？

核心解决方案：在OnRedirectToIdentityProvider事件中动态修改当前请求的协议参数 #

你之前尝试该事件时出现"变更仅对下一次请求生效"的问题，大概率是修改了全局的OpenIdConnectOptions而非当前请求的上下文参数。正确的做法是直接修改事件上下文里的ProtocolMessage，它仅作用于当前请求，不会影响全局配置。

示例代码如下：

services.AddAuthentication()
    .AddOpenIdConnect("DynamicOidc", options =>
    {
        // 基础配置可留空或设默认值，关键参数在事件中动态覆盖
        options.Events = new OpenIdConnectEvents
        {
            OnRedirectToIdentityProvider = context =>
            {
                // 从请求参数中获取当前要使用的SSO提供商标识
                var provider = context.HttpContext.Request.Query["provider"].ToString();

                // 根据提供商动态配置协议参数
                switch (provider)
                {
                    case "google":
                        context.ProtocolMessage.IssuerAddress = "https://accounts.google.com/o/oauth2/v2/auth";
                        context.ProtocolMessage.ClientId = "你的Google客户端ID";
                        context.ProtocolMessage.Scope = "openid email profile";
                        context.ProtocolMessage.ResponseType = "code";
                        break;
                    case "microsoft":
                        context.ProtocolMessage.IssuerAddress = "https://login.microsoftonline.com/common/oauth2/v2.0/authorize";
                        context.ProtocolMessage.ClientId = "你的Microsoft客户端ID";
                        context.ProtocolMessage.Scope = "openid email profile";
                        context.ProtocolMessage.ResponseType = "code";
                        break;
                    // 可扩展更多提供商
                }

                return Task.CompletedTask;
            }
        };
    });

无需控制器手动触发认证的处理方式 #

针对多容器架构不想在控制器中调用HttpContext.ChallengeAsync的需求，可通过自定义中间件自动触发认证流程：

app.Use(async (context, next) =>
{
    // 当请求/login路径且未认证时，自动触发动态OIDC认证
    if (context.Request.Path.Equals("/login", StringComparison.OrdinalIgnoreCase) 
        && !context.User.Identity.IsAuthenticated)
    {
        await context.ChallengeAsync("DynamicOidc");
        return;
    }
    await next();
});

额外注意事项 #

• 敏感配置（如客户端密钥）不要硬编码，建议从配置中心、数据库或密钥管理服务动态加载
• 可根据实际需求扩展参数来源（如请求头、路由变量等），不限于URL查询参数

内容的提问来源于stack exchange，提问作者Prins Alvino