ASP.NET Core MVC整合Okta与Entra认证方案报错及实现需求

问题原因 #

你遇到的Scheme already exists: Cookies错误，是因为两次调用AddAuthentication且重复注册了Cookie认证方案：

1. 配置Okta时显式调用AddCookie注册了默认Cookie方案
2. 配置Entra（Azure AD）时，AddMicrosoftIdentityWebApp会自动注册默认Cookie方案，导致重复注册冲突

正确配置步骤 #

1. 统一认证服务配置 #

修改Program.cs，只调用一次AddAuthentication，统一管理Cookie方案和两种第三方认证方案，给每个第三方认证指定唯一方案名称避免冲突：

// 初始化认证服务，设置默认认证和登录方案为Cookie
builder.Services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    // 不设置默认挑战方案，让用户手动选择认证方式
})
// 显式配置Cookie方案，自定义登录/权限拒绝路径
.AddCookie(options =>
{
    options.LoginPath = new PathString("/Account/SignIn");
    options.AccessDeniedPath = new PathString("/Account/AccessDenied");
})
// 添加Okta认证，指定唯一方案名称"Okta"，关联Cookie作为登录方案
.AddOktaMvc("Okta", options =>
{
    options.OktaDomain = builder.Configuration.GetValue<string>("Okta:OktaDomain");
    options.ClientId = builder.Configuration.GetValue<string>("Okta:ClientId");
    options.ClientSecret = builder.Configuration.GetValue<string>("Okta:ClientSecret");
    options.AuthorizationServerId = builder.Configuration.GetValue<string>("Okta:AuthorizationServerId");
    options.Scope = new List<string> { "openid", "profile", "email" };
    options.SignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
})
// 添加Entra认证，指定唯一方案名称"Entra"，关联Cookie作为登录方案
.AddMicrosoftIdentityWebApp("Entra", builder.Configuration.GetSection("AzureAd"), options =>
{
    options.SignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
});

// 配置授权策略，区分内部/外部用户的认证要求
builder.Services.AddAuthorization(options =>
{
    // 内部用户必须使用Entra认证
    options.AddPolicy("InternalUsers", policy =>
        policy.RequireAuthenticatedUser().AddAuthenticationSchemes("Entra"));
    // 外部用户必须使用Okta认证
    options.AddPolicy("ExternalUsers", policy =>
        policy.RequireAuthenticatedUser().AddAuthenticationSchemes("Okta"));
});

// 添加MVC控制器和视图支持，可选添加Entra默认UI
builder.Services.AddControllersWithViews()
    .AddMicrosoftIdentityUI();

2. 实现登录选择页面 #

创建Views/Account/SignIn.cshtml，提供按钮让用户选择认证方式：

<h1>选择登录方式</h1>

<form asp-action="Challenge" asp-route-scheme="Entra" method="post">
    <button type="submit">内部用户（Entra登录）</button>
</form>

<form asp-action="Challenge" asp-route-scheme="Okta" method="post" style="margin-top: 10px;">
    <button type="submit">外部用户（Okta登录）</button>
</form>

3. 实现认证挑战和登出逻辑 #

在AccountController中添加对应方法：

public class AccountController : Controller
{
    // 触发指定方案的认证挑战
    [HttpPost]
    public IActionResult Challenge(string scheme)
    {
        // 认证成功后跳转到首页
        return Challenge(new AuthenticationProperties { RedirectUri = "/" }, scheme);
    }

    // 同时注销Cookie和第三方认证会话
    public IActionResult SignOut()
    {
        return SignOut(
            new AuthenticationProperties { RedirectUri = "/" },
            CookieAuthenticationDefaults.AuthenticationScheme, 
            "Okta", 
            "Entra");
    }
}

4. 控制器授权示例 #

在需要区分用户类型的控制器或Action上，使用定义好的授权策略：

// 仅限内部用户访问
[Authorize(Policy = "InternalUsers")]
public class InternalController : Controller
{
    // ...
}

// 仅限外部用户访问
[Authorize(Policy = "ExternalUsers")]
public class ExternalController : Controller
{
    // ...
}

关键说明 #

• 所有认证最终写入同一个Cookie，简化会话管理
• 通过唯一方案名称区分Okta和Entra认证，避免冲突
• 授权策略确保不同用户只能通过指定方式访问对应资源
• 登出时需同时注销Cookie和两个第三方认证会话，避免残留登录状态

内容的提问来源于stack exchange，提问作者StanSm789