如何配置Entra应用注册使重定向URI包含应用名称

1. 核对IIS应用路径配置 #

• 确认IIS里canvasadminstage作为独立Web应用的虚拟路径是/canvasadminstage，而非直接绑定根路径。如果是根站点下的子应用，要保证物理路径和虚拟路径的映射完全对应，避免IIS处理请求时自动剥离路径前缀。
• 检查站点的URL重写规则，排查是否存在移除/canvasadminstage前缀的规则，尤其是匹配根路径的重写逻辑会干扰回调路径的完整性。

2. 修复MSAL回调路径配置 #

• 不要依赖MSAL自动推断回调URI，在启动代码里手动指定完整路径，确保和Entra ID注册的URI完全匹配：

  services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
      .AddMicrosoftIdentityWebApp(options =>
      {
          Configuration.Bind("AzureAd", options);
          // 手动设置完整回调路径，替换成你实际的回调端点
          options.CallbackPath = new PathString("/canvasadminstage/signin-oidc");
      });
  

• 再次确认Entra ID应用注册中的重定向URI，必须是完整的https://apps.domain/canvasadminstage/signin-oidc（或你的实际回调端点），类型选择Web，不能省略路径前缀。

3. 排查反向代理/负载均衡的路径传递 #

• 如果应用前端有反向代理或负载均衡器，确保这些设备转发请求时保留了完整路径，并且正确设置X-Forwarded-For、X-Forwarded-Proto、X-Forwarded-Host这些头部。MSAL会依赖这些头部生成回调URI，头部缺失或错误会导致路径推断异常。

4. 调试验证回调URI生成逻辑 #

• 在应用中间件里加临时日志，输出实际生成的回调URI，确认是否包含canvasadminstage前缀：

  app.UseAuthentication();
  app.UseAuthorization();
  
  // 临时调试用日志，上线前移除
  app.Use(async (context, next) =>
  {
      if (context.Request.Path.StartsWithSegments("/signin-oidc"))
      {
          var callbackUri = $"{context.Request.Scheme}://{context.Request.Host}{context.Request.Path}";
          Console.WriteLine($"当前回调URI: {callbackUri}");
      }
      await next();
  });
  

• 如果日志里的URI没有canvasadminstage，说明应用在推断请求路径时没拿到正确的虚拟路径，需要重新调整IIS的应用设置或中间件配置。

内容的提问来源于stack exchange，提问作者mhall