.NET 8 Web API中OpenIdConnectHandler报message.State为空异常

问题原因 #

部署到HTTPS环境后，浏览器在跨域回调（Authority与业务域名不同域）时未发送OIDC所需的临时Cookie（存储State/Nonce），导致message.State is null or empty异常。核心原因是Cookie的Secure属性配置冲突以及跨域Cookie的SameSite规则未满足：

• 本地HTTP环境下，浏览器对SameSite=None的Cookie限制宽松；但HTTPS环境下，SameSite=None的Cookie必须同时设置Secure=true，否则会被浏览器拒绝发送。
• 现有配置中，Cookie认证的SecurePolicy设为None，但全局CookiePolicy强制Secure=Always，导致配置冲突，OIDC临时Cookie的Secure属性未正确生效。

解决方案 #

1. 统一Cookie的Secure与SameSite配置 #

修改AddCookie的配置，确保与全局CookiePolicy一致，同时满足跨域Cookie要求：

.AddCookie(options =>
{
    options.CookieManager = new ChunkingCookieManager();
    options.Cookie.HttpOnly = true;
    options.Cookie.SameSite = SameSiteMode.None;
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 改为Always，匹配全局策略
})

2. 显式配置OIDC临时Cookie属性 #

OIDC中间件会自动创建存储State和Nonce的临时Cookie，需显式指定它们的SameSite和Secure属性，确保跨域时能被浏览器发送：

.AddOpenIdConnect(OpenIdConnectDefaults.AuthenticationScheme, options =>
{
    // 保留原有配置...
    options.Authority = "你的Authority地址";
    options.ClientId = "你的ClientId";
    options.ClientSecret = "你的ClientSecret";
    options.SignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.ResponseType = "code";
    options.Prompt = "login";
    options.GetClaimsFromUserInfoEndpoint = true;
    options.SaveTokens = true;
    
    // 生产环境HTTPS下必须启用
    options.RequireHttpsMetadata = true;
    
    // 显式配置State和Nonce Cookie
    options.StateCookie.SameSite = SameSiteMode.None;
    options.StateCookie.SecurePolicy = CookieSecurePolicy.Always;
    options.NonceCookie.SameSite = SameSiteMode.None;
    options.NonceCookie.SecurePolicy = CookieSecurePolicy.Always;
})

3. 验证OIDC客户端回调URL配置 #

确保Identity Provider（Authority端）配置的回调URL与部署后的地址完全一致：https://myexampleurl.whatever/signin-oidc，路径和协议必须准确。

4. 检查Swagger授权配置（可选） #

如果Swagger使用OAuth2授权，确保SwaggerUI的OAuth2RedirectUrl设置为部署后的Swagger地址：

app.UseSwaggerUI(options =>
{
    options.OAuthClientId("你的ClientId");
    options.OAuthRedirectUrl("https://myexampleurl.whatever/swagger/oauth2-redirect.html");
    options.OAuthUsePkce();
});

验证修改后效果 #

部署后访问https://myexampleurl.whatever/swagger，触发登录回调时，浏览器应发送.AspNetCore.OpenIdConnect.Nonce.*和.AspNetCore.Cookies相关Cookie，OIDC中间件能正常验证State，完成登录流程。

内容的提问来源于stack exchange，提问作者JrDeveloper