在登录页ReturnUrl中携带完整OpenIddict请求是否标准且安全？.NET 8.0

是否属于标准实践 #

这种做法完全符合OAuth 2.0 PKCE结合OpenID Connect的标准实践，也是.NET生态中实现身份认证+授权的常规模式：

• 当未认证用户触发授权请求（访问/connect/authorize端点）时，系统会先重定向到登录页，将完整的授权请求参数通过ReturnUrl编码传递，目的是在用户完成身份验证后，无缝续接授权流程。
• OAuth 2.0和OpenID Connect规范允许这种"先认证、后授权"的跳转逻辑，核心是保证授权流程必须建立在用户已完成身份验证的基础上，这类中间跳转是处理用户身份校验的通用手段。
• .NET Identity搭配IdentityServer等授权框架的默认实现，就采用了这种ReturnUrl传递授权参数的逻辑，属于成熟的业界方案。

是否安全 #

只要做好以下关键校验，这种方式是安全的：

• 严格校验ReturnUrl的合法性：必须确保ReturnUrl指向的是自身域名下的授权端点（/connect/authorize），防止开放重定向攻击。.NET Identity默认会做基础校验，建议显式配置允许的路径白名单，进一步限制跳转范围。
• 保证HTTPS传输：所有跳转和参数传递必须通过HTTPS完成，防止中间人篡改URL中的code_challenge、state等关键参数。
• 校验state参数：Angular应用生成的state值必须与授权回调时返回的state严格一致，这是防范CSRF攻击的核心环节，属于PKCE流程的强制要求。
• 参数无敏感信息：ReturnUrl中携带的client_id、redirect_uri、scope都是公开配置项，code_challenge是code_verifier的哈希值（不可逆），不存在敏感信息泄露的风险。

内容的提问来源于stack exchange，提问作者Marmiton