使用OpenIdConnect认证时，重定向至login.microsoft遭CORS拦截问题排查

你的核心问题在于对CORS作用的理解偏差，以及前后端认证流程的适配错误：

1. CORS配置的错误点 #

CORS策略管控的是跨域AJAX请求的响应权限，WithOrigins中应该填写发起请求的前端域名（即你的https://localhost:50970），而非跳转目标login.microsoftonline.com。把这个第三方域名加入CORS配置完全无效，因为它不是请求的来源方。

2. 重定向被阻止的根本原因 #

• 刷新页面时：浏览器直接向API发起请求，API返回302重定向，浏览器会直接处理这个跳转——这属于浏览器级别的导航操作，不受CORS限制。
• 无刷新时：前端通过AJAX（fetch/axios等）调用API，API返回302重定向到微软登录，但AJAX请求不允许跨域跳转到第三方域名，浏览器会因CORS策略拦截该响应，导致报错。

3. 具体修复步骤 #

步骤1：修正CORS配置 #

只保留前端域名，同时添加必要的跨域规则（若前端需携带Cookie，必须开启AllowCredentials）：

builder.Services.AddCors(options =>
{
    options.AddPolicy(name: MyAllowSpecificOrigins,
        policy =>
        {
            policy.WithOrigins("https://localhost:50970")
                  .AllowAnyHeader()
                  .AllowAnyMethod()
                  .AllowCredentials(); // 前端带Cookie时必须配置
        });
});

同时确保Program.cs中中间件顺序正确，CORS需放在认证中间件之前：

app.UseCors(MyAllowSpecificOrigins);
app.UseAuthentication();
app.UseAuthorization();

步骤2：调整API的认证响应逻辑 #

让API区分AJAX请求和普通浏览器请求，对AJAX请求返回401而非302重定向：
修改Cookie认证的事件配置：

.AddCookie(CookieAuthenticationDefaults.AuthenticationScheme, options =>
{
    options.Cookie.Name = "oidc";
    options.Cookie.SameSite = SameSiteMode.None;
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    options.Cookie.IsEssential = true;

    // 添加AJAX请求的特殊处理
    options.Events = new CookieAuthenticationEvents
    {
        OnRedirectToLogin = context =>
        {
            // 判断是否为AJAX请求
            bool isAjaxRequest = context.Request.Headers["X-Requested-With"] == "XMLHttpRequest" 
                                 || context.Request.Headers.Accept.Contains("application/json");
            
            if (isAjaxRequest)
            {
                context.Response.StatusCode = StatusCodes.Status401Unauthorized;
                return Task.CompletedTask;
            }
            
            // 普通请求正常重定向
            context.Response.Redirect(context.RedirectUri);
            return Task.CompletedTask;
        }
    };
})

步骤3：前端适配处理 #

前端在调用API时捕获401状态码，手动触发浏览器导航到API的认证触发路由，让浏览器处理重定向到微软登录：

// 示例：axios响应拦截器
axios.interceptors.response.use(
    response => response,
    error => {
        if (error.response?.status === 401) {
            // 跳转到API的认证路由，触发OIDC重定向流程
            window.location.href = '/api/auth/login';
        }
        return Promise.reject(error);
    }
);

步骤4：可选：启用PKCE提升安全性 #

你的OIDC配置中UsePkce = false，对于JS前端这类单页应用场景，推荐启用PKCE——这是更安全的认证方式，无需依赖ClientSecret（前端无法安全存储该密钥）：

options.UsePkce = true;
// 可移除ClientSecret配置，PKCE模式不需要它
// options.ClientSecret = configuration["Azure:Secret"];

内容的提问来源于stack exchange，提问作者Andrei Teodorescu