升级Microsoft.IdentityModel相关包后出现Correlation failed问题求助

排查方向及解决方案 #

1. 核对关联Cookie的配置一致性 #

升级后Microsoft.IdentityModel包对Cookie的处理逻辑可能有调整，重点检查以下几点：

• 确保CookieAuthenticationOptions和OpenIdConnectOptions中的CookieManager实现一致，比如都使用ChunkingCookieManager，避免因Cookie分段处理不一致导致关联信息丢失。
• 针对跨域回调场景（Keycloak和应用不在同一域名下），设置关联Cookie的SameSite为SameSiteMode.None，同时开启SecurePolicy为CookieSecurePolicy.Always（仅生产环境HTTPS生效）。
  示例配置代码：

services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie(options =>
{
    options.Cookie.SameSite = SameSiteMode.None;
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    options.CookieManager = new ChunkingCookieManager();
})
.AddOpenIdConnect(options =>
{
    // 此处填充Keycloak的客户端ID、授权地址等基础配置
    options.CookieManager = new ChunkingCookieManager(); // 与Cookie配置保持一致
    options.CorrelationCookie.SameSite = SameSiteMode.None;
    options.CorrelationCookie.SecurePolicy = CookieSecurePolicy.Always;
});

2. 确认Keycloak回调URL的准确性 #

• 检查Keycloak客户端配置中的Valid Redirect URIs，必须和应用的CallbackPath完全匹配，包括协议（HTTP/HTTPS）、域名、端口和路径（比如https://your-app-domain.com/user/signin-oidc），升级后包对URL的校验逻辑更严格，细微的差异都会导致关联失败。
• 如果应用部署在反向代理之后，要配置ASP.NET Core正确识别转发的头部信息，避免生成的回调URL与Keycloak配置不匹配：

app.UseForwardedHeaders(new ForwardedHeadersOptions
{
    ForwardedHeaders = ForwardedHeaders.XForwardedProto | ForwardedHeaders.XForwardedHost
});

3. 验证关联ID（state参数）的传递与存储 #

• 登录请求发起时，检查请求中是否包含state参数；Keycloak回调时，确认返回的state参数和发起请求时的完全一致。升级后的包可能对state的长度、格式校验更严格，若存在截断或篡改会直接触发关联失败。
• 清理浏览器缓存后重试，避免旧的Cookie干扰；若应用Cookie存储达到上限，关联Cookie可能被截断，可尝试调整Cookie大小限制或优化其他Cookie的存储。

4. 开启详细日志定位根因 #

通过日志获取关联验证失败的具体细节：
在appsettings.json中配置日志级别：

"Logging": {
    "LogLevel": {
        "Microsoft.IdentityModel": "Debug",
        "Microsoft.AspNetCore.Authentication": "Debug"
    }
}

查看日志中关于CorrelationTokenValidator或OpenIdConnectHandler的调试信息，比如是state不匹配、关联Cookie未找到还是签名验证失败，根据具体错误再针对性修复。

内容的提问来源于stack exchange，提问作者Viacheslav