ASP.NET MVC应用作为Azure App Service虚拟应用时OIDC的SecurityTokenValidated方法未触发

以下是针对该问题的具体排查和解决步骤：

1. 配置应用路径基址（Path Base） #

当应用运行在子路径（如/admin）下时，ASP.NET需要明确识别这个基路径，否则OIDC中间件无法正确匹配回调请求：

• 在Startup.Configure方法中，在认证中间件之前添加路径基址配置：

  app.UsePathBase("/admin");
  

• 确保OIDC的CallbackPath使用相对路径（不要硬编码绝对路径），示例：

  options.CallbackPath = new PathString("/signin-oidc");
  

  此时实际回调地址会自动拼接为/admin/signin-oidc，需和IDP后台配置的redirectUri完全一致。

2. 检查中间件执行顺序 #

中间件顺序直接影响请求拦截逻辑，必须保证以下顺序：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 异常处理、静态文件等前置中间件
    app.UsePathBase("/admin");
    app.UseStaticFiles();
    app.UseRouting();
    app.UseAuthentication(); // 认证中间件必须在授权和路由之前
    app.UseAuthorization();
    // 端点/路由配置
    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllerRoute(
            name: "default",
            pattern: "{controller=Home}/{action=Index}/{id?}");
    });
}

3. 修正状态Cookie的路径 #

OIDC中间件依赖状态Cookie跟踪认证流程，默认Cookie路径为根路径/，在子路径下可能无法被正确读取，导致中间件跳过令牌验证：

• 在Cookie认证和OIDC配置中指定Cookie路径，与应用子路径保持一致：

  services.AddAuthentication(options =>
  {
      options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
      options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
  })
  .AddCookie(options =>
  {
      options.Cookie.Path = "/admin";
  })
  .AddOpenIdConnect(options =>
  {
      // 其他OIDC配置（Authority、ClientId等）
      options.CallbackPath = "/signin-oidc";
      options.Cookie.Path = "/admin";
  });
  

4. 确保重定向URI完全匹配 #

IDP发送的redirectUri必须与应用实际回调地址完全一致，包括子路径：

• 本地测试时：https://localhost:44339/admin/signin-oidc
• Azure App Service虚拟应用时：https://{你的应用名}.azurewebsites.net/admin/signin-oidc
• OIDC中间件默认开启RedirectUriValidation，如果URI不匹配会直接拒绝处理请求，不会触发SecurityTokenValidated。

5. 开启详细日志排查 #

通过日志可定位中间件处理请求时的具体错误：

• 在appsettings.json中添加认证相关的Debug级日志：

  {
    "Logging": {
      "LogLevel": {
        "Default": "Information",
        "Microsoft.AspNetCore.Authentication": "Debug"
      }
    }
  }
  

  查看日志中是否有状态验证失败、URI不匹配、Cookie读取失败等错误信息，这些是导致SecurityTokenValidated不触发的常见原因。

内容的提问来源于stack exchange，提问作者Steve Hicks