.NET 8应用多认证方案配置问题：Auth0登录默认走Identity

当同时为会计人员配置Auth0认证、为管理员配置.NET Identity认证时，AddIdentity会自动将Identity的Cookie认证方案设为全局默认，导致Auth0登录流程被错误覆盖。以下是具体解决办法：

方法1：显式指定认证方案，避免全局默认冲突 #

先配置认证服务，明确注册两个独立的Cookie方案，再在对应控制器/Action上指定专属认证方案：

修改服务配置代码 #

// 先注册两个Cookie认证方案，确保彼此独立
builder.Services.AddAuthentication()
    .AddCookie("AccountantCookies")
    .AddCookie("AdminIdentityCookies");

// 保留原有Auth0配置不变
configurationbuilder.Services.AddAuth0WebAppAuthentication("AccountantScheme", options =>{    
    options.Domain = builder.Configuration["Auth0:Domain"]; 
    options.ClientId = builder.Configuration["Auth0:ClientId"];    
    options.ClientSecret = builder.Configuration["Auth0:ClientSecret"];    
    options.Scope = "openid profile email";
    options.OpenIdConnectEvents = new OpenIdConnectEvents    
    {        
        OnAccessDenied = context =>        
        {            
            context.Response.Redirect("/");            
            context.HandleResponse();            
            return Task.CompletedTask; // .NET 8推荐用此替代Task.FromResult(0)
        }    
    }; 
    options.CookieAuthenticationScheme = "AccountantCookies"; 
}).WithAccessToken(options =>{    
    options.Audience = builder.Configuration["Auth0:ManagementAudience"];    
    options.UseRefreshTokens = true;
});

// 保留原有Identity配置不变
builder.Services.AddIdentity<IdentityUser, IdentityRole>()    
    .AddEntityFrameworkStores<DataContext>()    
    .AddDefaultTokenProviders();

builder.Services.ConfigureApplicationCookie(options =>{    
    options.Cookie.Name = "AdminIdentityCookies";    
    options.LoginPath = "/AdminPortal/Account/Login";    
    options.LogoutPath = "/AdminPortal/Account/Logout";    
    options.AccessDeniedPath = "/AdminPortal/Account/AccessDenied";
});

builder.Services.Configure<CookieAuthenticationOptions>("AccountantCookies", options =>{    
    options.LoginPath = "/AccountantPortal/Authentication/LogIn/Login";    
    options.LogoutPath = "/AccountantPortal/Authentication/LogOut/Logout";
});

为控制器绑定对应认证方案 #

• 会计人员专属控制器/Action，指定Auth0方案：

[Authorize(AuthenticationSchemes = "AccountantScheme")]
public class AccountantPortalController : Controller
{
    // 业务方法
}

• 管理员专属控制器/Action，指定Identity方案：

[Authorize(AuthenticationSchemes = IdentityConstants.ApplicationScheme)]
public class AdminPortalController : Controller
{
    // 业务方法
}

方法2：设置全局默认方案，管理员单独指定 #

如果希望Auth0作为全局默认认证方案，可显式配置并覆盖AddIdentity带来的默认修改：

// 设置全局默认认证方案为Auth0的方案
builder.Services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = "AccountantScheme";
    options.DefaultChallengeScheme = "AccountantScheme";
})
.AddCookie("AccountantCookies")
.AddCookie("AdminIdentityCookies");

// 注册Identity服务
builder.Services.AddIdentity<IdentityUser, IdentityRole>()
    .AddEntityFrameworkStores<DataContext>()
    .AddDefaultTokenProviders();

// 因AddIdentity会修改默认认证方案，此处需重新覆盖设置
builder.Services.PostConfigure<AuthenticationOptions>(options =>
{
    options.DefaultAuthenticateScheme = "AccountantScheme";
    options.DefaultChallengeScheme = "AccountantScheme";
});

管理员控制器依然通过[Authorize(AuthenticationSchemes = IdentityConstants.ApplicationScheme)]指定专属方案即可。

核心注意点 #

• AddIdentity内部会自动将Identity的Cookie设为默认认证方案，必须显式覆盖或单独指定方案才能避免冲突；
• 你已为两个认证方案设置了不同的Cookie名称，这能避免Cookie冲突，无需修改；
• OnAccessDenied中用Task.CompletedTask替代Task.FromResult(0)，更符合.NET 8的规范。

内容的提问来源于stack exchange，提问作者Harendrra