Django+Azure App Service集成Microsoft SSO遇State Mismatch错误

问题核心 #

登录流程中生成的oauth2_state存入会话后，回调时会话中该值变为None，导致与Microsoft返回的state参数不匹配，触发登录失败。

错误日志示例：

ERROR:django.security.SSOLogin: State mismatch during Microsoft SSO login.
Received state in callback: b8bfae27-xxxx-xxxx-xxxxxxxxx
Session state before validation: None

环境信息 #

Django版本：5.0.6
Python版本：3.12
SSO集成包：django-microsoft-sso
缓存后端：LocMemCache（计划切换为Redis）
部署环境：Azure App Service
时区：本地为美国中部时间，Azure服务器为UTC
会话引擎：数据库存储会话（django.contrib.sessions.backends.db）

已尝试操作 #

• 验证会话数据的存储与检索
• 同步服务器与Microsoft认证服务器时间
• 排查缓存设置在Azure多实例环境的适配性
• 核对Microsoft SSO的URL及回调配置

针对性解决方案 #

1. 解决多实例环境下的会话一致性问题 #

Azure App Service多实例部署时，LocMemCache是进程内缓存，无法跨实例共享会话数据。即使使用数据库会话引擎，若缓存配置未正确关联，可能导致会话读取异常。

• 修复步骤：将缓存后端切换为Azure Redis Cache，确保所有实例共享同一缓存源。修改settings.py中的缓存配置：

  CACHES = {
      'default': {
          'BACKEND': 'django_redis.cache.RedisCache',
          'LOCATION': 'redis://your-azure-redis-endpoint:6380/',
          'OPTIONS': {
              'CLIENT_CLASS': 'django_redis.client.DefaultClient',
              'PASSWORD': 'your-redis-password',
              'SSL': True,
          }
      }
  }
  # 可选：将会话存储绑定到Redis，提升性能与一致性
  SESSION_ENGINE = 'django.contrib.sessions.backends.cache'
  SESSION_CACHE_ALIAS = 'default'
  

2. 确保会话数据正确持久化 #

当前代码中已调用request.session.save()，但需确认会话保存逻辑无遗漏：

• 检查sso_login视图中，生成state后是否立即保存会话，避免因请求结束前未完成持久化导致数据丢失。
• 若使用数据库会话引擎，确认sessions表正常读写，无锁表或权限问题。

3. 修正Cookie配置适配生产环境 #

当前配置中MICROSOFT_SSO_REDIRECT_URI使用http://localhost，但生产环境已开启SESSION_COOKIE_SECURE = True，可能导致Cookie无法正确传递：

• 将MICROSOFT_SSO_REDIRECT_URI修改为HTTPS地址（与Azure App Service的访问地址一致）。
• 添加SESSION_COOKIE_SAMESITE配置，避免跨站请求时Cookie被浏览器拦截：

  SESSION_COOKIE_SAMESITE = 'Lax'
  CSRF_COOKIE_SAMESITE = 'Lax'
  

• 若使用自定义域名，确认SESSION_COOKIE_DOMAIN配置正确，确保Cookie能在回调域名下正常读取。

4. 排查django-microsoft-sso包的冲突 #

自定义的sso_login和microsoft_sso_callback视图可能与django-microsoft-sso包的内置逻辑冲突，导致会话数据被覆盖或丢失：

• 尝试使用包提供的默认视图，替换自定义实现，验证是否仍存在state丢失问题：

  # urls.py中使用包的默认视图
  from django_microsoft_sso.views import microsoft_sso_login, microsoft_sso_callback
  
  urlpatterns = [
      # ... 其他路由
      path('sso/login/', microsoft_sso_login, name='microsoft_sso_login'),
      path('sso/callback/', microsoft_sso_callback, name='microsoft_sso_callback'),
  ]
  

• 若默认视图正常，对比自定义代码与包内置逻辑的差异，重点排查会话操作部分。

5. 增加会话调试日志 #

在sso_login和microsoft_sso_callback视图中添加更详细的会话日志，追踪state的存储与读取过程：

# sso_login视图中增加
logger.debug(f"Generated state: {state}, saved to session with key oauth2_state")
logger.debug(f"Session ID after save: {request.session.session_key}")

# microsoft_sso_callback视图中增加
logger.debug(f"Current session ID: {request.session.session_key}")
logger.debug(f"All session keys: {list(request.session.keys())}")

通过日志确认会话ID在登录和回调时是否一致，排查会话是否被重新创建。

代码调整建议 #

修改microsoft_sso_callback视图，移除@csrf_exempt装饰器——OAuth2回调请求是合法的跨站GET请求，Django的CSRF防护不会拦截该类请求，保留CSRF防护更安全：

# 移除@csrf_exempt装饰器
def microsoft_sso_callback(request):
    # ... 原有逻辑

内容的提问来源于stack exchange，提问作者pytech