Blazor 8 Web App经Azure AD重定向后无限循环无法登录

针对部署后出现的无限重定向直至Cookie超限问题，可从以下方向逐一排查：

1. 检查认证Cookie的安全属性配置 #

服务器环境为HTTPS时，浏览器会拦截未标记为Secure的Cookie，导致认证状态无法持久化，触发重复认证循环。需显式配置Cookie的安全属性：

builder.Services.Configure<CookieAuthenticationOptions>(CookieAuthenticationDefaults.AuthenticationScheme, options =>
{
    // 强制Cookie仅通过HTTPS传输
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    // 根据部署场景调整SameSite，Lax适用于大多数场景，跨域场景可设为None（需配合Secure）
    options.Cookie.SameSite = SameSiteMode.Lax;
    // 可额外限制Cookie的路径，避免不必要的范围
    options.Cookie.Path = "/";
});

2. 确认ForwardedHeaders中间件执行顺序 #

UseForwardedHeaders必须在认证、授权中间件之前执行，否则应用无法正确识别反向代理传递的X-Forwarded-Proto头，会生成HTTP回调地址，与Azure AD配置的HTTPS地址不匹配，触发重定向：

// 先配置ForwardedHeaders
var forwardedHeaderOptions = new ForwardedHeadersOptions
{
    ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto
};
forwardedHeaderOptions.KnownProxies.Clear();
forwardedHeaderOptions.KnownNetworks.Clear();
app.UseForwardedHeaders(forwardedHeaderOptions);

// 再执行认证、授权中间件
app.UseAuthentication();
app.UseAuthorization();

3. 验证Azure AD应用注册的重定向URL精确性 #

Azure AD要求重定向URL完全匹配请求地址：

• 确认配置的URL为https://你的域名/signin-oidc（Blazor默认OIDC回调路径），无多余斜杠、大小写错误；
• 若使用Blazor WebApp的托管模式，需确认客户端和服务器端的回调URL均已正确配置。

4. 排查Token缓存与Cookie大小超限问题 #

SaveTokens=true会将所有获取的Token存储在认证Cookie中，结合AddInMemoryTokenCaches可能导致Cookie体积超过浏览器4KB的限制，无法正常保存：

• 改用分布式Token缓存（如Redis）替代InMemory缓存，避免Token写入Cookie；
• 若无需在Cookie中保留全部Token，可将SaveTokens设为false；
• 精简请求的Scope，移除不必要的权限（如非必需的Graph API权限），减少返回的Token大小。

5. 检查反向代理的头传递配置 #

若服务器前端有反向代理（Nginx、IIS ARR等），需确保代理正确传递以下头信息：

• Nginx配置示例：

  location / {
      proxy_pass http://你的应用地址;
      proxy_set_header X-Forwarded-Proto $scheme;
      proxy_set_header X-Forwarded-For $remote_addr;
      proxy_set_header Host $host;
  }
  

• IIS ARR需启用“Forwarded Headers”功能，并确保代理规则中保留原始请求的协议头。

6. 启用详细日志定位问题 #

在appsettings.json中开启认证模块的Debug日志，查看重定向过程中的具体错误：

"Logging": {
    "LogLevel": {
        "Microsoft.AspNetCore.Authentication": "Debug",
        "Microsoft.Identity.Web": "Debug"
    }
}

重点关注回调请求的处理日志，确认是否成功获取Token、Cookie是否正常写入，以及认证失败的具体原因。

内容的提问来源于stack exchange，提问作者Tenacious