如何在IdentityServer4的OnTokenValidated事件中添加error参数到回调重定向？

核心思路 #

直接调用context.Fail()会触发服务器端异常，返回500错误，无法正常将错误参数传递到前端。我们需要拦截验证失败的流程，手动构建带error参数的重定向响应，替代默认的异常处理逻辑。

具体实现步骤 #

1. 在OnTokenValidated事件中手动处理验证失败 #

不要直接调用context.Fail()，在自定义验证不通过时，获取前端回调URI并拼接error参数，返回重定向响应终止后续流程：

services.AddAuthentication()
    .AddJwtBearer("Bearer", options =>
    {
        options.Events = new JwtBearerEvents
        {
            OnTokenValidated = async context =>
            {
                // 执行你的自定义令牌验证逻辑
                var tokenIsValid = await ValidateTokenCustomLogic(context.SecurityToken);

                if (!tokenIsValid)
                {
                    // 从请求中获取前端回调URI
                    var callbackUri = context.Request.Query["redirect_uri"].FirstOrDefault();
                    if (!string.IsNullOrEmpty(callbackUri))
                    {
                        // 编码错误信息并拼接参数
                        var encodedError = Uri.EscapeDataString("自定义令牌验证失败");
                        var errorRedirectUri = QueryHelpers.AddQueryString(callbackUri, "error", encodedError);
                        
                        // 返回重定向响应
                        context.Response.Redirect(errorRedirectUri);
                        // 终止后续验证流程
                        context.HandleResponse();
                        return;
                    }

                    // 无回调URI时再使用默认失败逻辑
                    context.Fail("令牌验证未通过");
                }
            }
        };
    });

2. 从客户端配置安全获取回调URI #

直接从请求取redirect_uri存在风险，更安全的方式是从IdentityServer的客户端配置中匹配合法的回调地址：

// 在OnTokenValidated事件内
var clientId = context.Principal?.FindFirst(JwtClaimTypes.ClientId)?.Value;
if (!string.IsNullOrEmpty(clientId))
{
    var clientStore = context.HttpContext.RequestServices.GetRequiredService<IClientStore>();
    var client = await clientStore.FindClientByIdAsync(clientId);
    
    if (client != null && client.RedirectUris.Any())
    {
        // 匹配当前请求对应的回调URI（或取配置中的默认回调）
        var validCallbackUri = client.RedirectUris.First(uri => uri.Contains(context.Request.Host.Value));
        var encodedError = Uri.EscapeDataString("自定义令牌验证失败");
        var errorRedirectUri = QueryHelpers.AddQueryString(validCallbackUri, "error", encodedError);
        
        context.Response.Redirect(errorRedirectUri);
        context.HandleResponse();
        return;
    }
}

3. Angular前端处理错误参数 #

在oidc-client-ts的回调组件中，先解析URL的error参数，再处理正常回调逻辑：

import { Component, OnInit } from '@angular/core';
import { ActivatedRoute, Router } from '@angular/router';
import { UserManager } from 'oidc-client-ts';

@Component({
  selector: 'app-signin-callback',
  templateUrl: './signin-callback.component.html'
})
export class SigninCallbackComponent implements OnInit {

  constructor(
    private route: ActivatedRoute,
    private router: Router,
    private userManager: UserManager
  ) { }

  ngOnInit(): void {
    this.route.queryParams.subscribe(params => {
      if (params['error']) {
        // 处理验证错误，比如显示提示或跳转错误页
        const errorMsg = decodeURIComponent(params['error']);
        console.error('登录验证失败:', errorMsg);
        this.router.navigate(['/login-failed'], { queryParams: { message: errorMsg } });
        return;
      }

      // 正常处理登录回调
      this.userManager.signinRedirectCallback()
        .then(user => this.router.navigate(['/dashboard']))
        .catch(err => console.error('登录回调异常:', err));
    });
  }
}

注意事项 #

• 错误信息必须用Uri.EscapeDataString()编码，避免特殊字符导致URL解析异常。
• 不要在error参数中返回敏感信息，防止泄露服务器端逻辑细节。
• 确保前端回调URI已添加到IdentityServer客户端配置的RedirectUris列表中，避免恶意重定向。

内容的提问来源于stack exchange，提问作者Billy