PHP中Microsoft 365登录成功后重定向异常问题排查

问题概述 #

开发基于OAuth2.0协议的Microsoft 365用户认证PHP应用，登录流程可正常获取访问令牌，Session变量也已正确设置，但成功登录后无法重定向到指定页面LeaveManagement.php（代码中实际指向management.php），始终无法进入目标页面。

关键代码片段 #

login.php（简化版） #

<?php
session_start();
require 'php_scripts/db.php';  

// 从数据库初始化配置变量
$appid = getApiConfig($pdo, 'client_id');
$tenantid = getApiConfig($pdo, 'tenant_id');
$secret = getApiConfig($pdo, 'client_secret');
$redirect_uri = 'https://my.domain.com/management.php';  

// 已登录则重定向
if (!empty($_SESSION['HRUserIsAllowed'])) {
    header("Location: $redirect_uri");
    exit;
}

// OAuth流程处理
if (isset($_GET['action']) && $_GET['action'] === 'login') {
    // 跳转至微软登录页
    $loginUrl = "https://login.microsoftonline.com/{$tenantid}/oauth2/v2.0/authorize?" . http_build_query([
        'client_id' => $appid,
        'response_type' => 'code',
        'redirect_uri' => $redirect_uri,
        'scope' => 'https://graph.microsoft.com/User.Read offline_access',
        'state' => bin2hex(random_bytes(16)),
    ]);
    header('Location: ' . $loginUrl);
    exit;
} elseif (isset($_GET['code'])) {
    // 处理授权码
    $tokenUrl = "https://login.microsoftonline.com/{$tenantid}/oauth2/v2.0/token";
    // ...令牌请求和Session变量设置逻辑...
    // 假设已成功获取令牌
    $_SESSION['HRUserIsAllowed'] = true;
    header("Location: $redirect_uri");
    exit;
} else {
    // 显示登录界面（简化）
    echo "Login Screen HTML Here"; 
}
?>

management.php（简化版） #

<?php
session_start();

require 'vendor/autoload.php';
require 'php_scripts/db.php'; 

if (!isset($_SESSION['HRUserIsAllowed']) || $_SESSION['HRUserIsAllowed'] !== true) {
  $current_page = (isset($_SERVER['HTTPS']) ? "https://" : "http://") . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI'];
  header("Location: login.php?redirect_uri=" . urlencode($current_page));
  exit;

} else {

    // 已认证用户的页面逻辑
 }    
?>

排查方向建议 #

1. 检查输出缓冲与Header发送
   • 确保header()调用前无任何输出（包括空格、空行或echo语句），哪怕是require的文件中也不能有。可在session_start()前添加ob_start()开启输出缓冲，避免意外输出导致Header失效。
2. 验证Session跨域/路径问题
   • 确认Session的cookie_domain设置匹配当前域名（my.domain.com），若存在子域名差异，Session可能无法共享。可在session_start()前设置：

     ini_set('session.cookie_domain', '.my.domain.com');
     

   • 检查Session的cookie_path是否为根路径（/），确保所有页面都能访问到Session Cookie。
3. 调试重定向后的Session状态
   • 在management.php开头添加调试代码，打印Session变量值，确认是否能正确读取：

     var_dump($_SESSION);
     exit;
     

   • 若Session为空，可能是Session存储路径权限问题，检查服务器上Session存储目录（可通过session_save_path()查看）的读写权限是否正确。
4. 验证OAuth重定向URI配置
   • 确认Azure门户中注册的应用程序重定向URI与代码中的$redirect_uri完全一致，包括HTTPS协议、域名和路径，任何细微差异都会导致回调失败。
5. 检查Token请求是否真的成功
   • 不要假设令牌获取成功，在elseif (isset($_GET['code']))分支中添加错误处理，打印Token请求的响应内容，确认是否实际获取到令牌，避免因Token请求失败导致Session变量未正确设置。

内容的提问来源于stack exchange，提问作者Stig Kølbæk