.NET 5 Razor Pages微软外部账号登录：取消授权时企业账号异常

• 个人Microsoft账号取消授权时，返回标准OAuth2协议的access_denied错误，ASP.NET Core的Microsoft Account中间件会自动识别该错误，并跳转到配置的AccessDeniedPath页面。
• 企业Azure AD账号取消授权时，返回AADSTS65004错误（对应error=interaction_required），该错误不在Microsoft Account中间件默认处理的错误范围内，因此会直接抛出未处理的远程认证失败异常，而非触发重定向。

方案1：通过中间件事件精准拦截错误 #

在Microsoft Account认证配置中，利用OnRemoteFailure事件直接捕获指定错误，手动触发重定向并标记错误已处理，这是最精准的处理方式：

public static class MicrosoftAuthExtension
{
    public static void AddMicrosoftAuth(this IServiceCollection services, IConfiguration configuration)
    {
        services.AddAuthentication()
            .AddMicrosoftAccount(options =>
            {
                IConfigurationSection microsoftAuthNSection = configuration.GetSection("Authentication:Microsoft");
                options.ClientId = microsoftAuthNSection["ClientId"];
                options.ClientSecret = microsoftAuthNSection["ClientSecret"];
                options.CallbackPath = new PathString("/Identity/Account/MicrosoftExternalAccountCallBack");
                options.AccessDeniedPath = new PathString("/Identity/Account/Login");
                options.SaveTokens = true;

                // 拦截远程认证失败事件
                options.Events.OnRemoteFailure = context =>
                {
                    // 匹配企业账号取消授权的AADSTS65004错误
                    if (context.Failure?.Message.Contains("AADSTS65004") == true)
                    {
                        context.Response.Redirect(options.AccessDeniedPath);
                        context.HandleResponse(); // 标记错误已处理，阻止后续异常抛出
                    }
                    return Task.CompletedTask;
                };
            });
    }
}

方案2：全局异常处理兜底 #

如果需要针对所有远程认证失败做统一处理，可以添加全局异常处理中间件，捕获RemoteAuthenticationFailureException后判断错误码并重定向：

// 在Startup.cs的Configure方法中添加（.NET 5）
app.UseExceptionHandler(errorApp =>
{
    errorApp.Run(async context =>
    {
        var exceptionFeature = context.Features.Get<IExceptionHandlerPathFeature>();
        if (exceptionFeature?.Error is RemoteAuthenticationFailureException authEx)
        {
            if (authEx.Message.Contains("AADSTS65004"))
            {
                context.Response.Redirect("/Identity/Account/Login");
                return;
            }
        }
        // 其他异常的默认处理逻辑
        context.Response.StatusCode = StatusCodes.Status500InternalServerError;
        await context.Response.WriteAsync("An unexpected error occurred.");
    });
});

补充说明 #

• 优先选择方案1，因为它直接在认证中间件层面处理错误，逻辑更聚焦，避免全局异常处理的冗余判断。
• 可扩展OnRemoteFailure中的判断逻辑，加入其他常见Azure AD错误码（如AADSTS50011回调URL不匹配、AADSTS70002客户端密钥无效等），提升认证流程的鲁棒性。

内容的提问来源于stack exchange，提问作者Prakash Rajput