从VB.NET WebForms转Razor Pages：Header认证后重定向至目标页面

核心思路 #

ASP.NET Core Cookie 认证框架会自动将用户原本要访问的页面地址作为 ReturnUrl 参数附加到登录请求中，无需依赖不可靠的 Referer 请求头，直接通过该参数即可完成认证后的目标页面重定向。

1. 正确配置认证中间件 #

在 Program.cs 中完成认证服务注册，并确保中间件顺序正确（认证在前，授权在后）：

builder.Services.AddAuthentication("myApp")
    .AddCookie("myApp", options =>
    {
        options.Cookie.Name = "myApp";
        options.LoginPath = "/Account/Login";
        // 可选：显式指定ReturnUrl参数名（默认就是ReturnUrl，可省略）
        options.ReturnUrlParameter = "ReturnUrl";
        // 生产环境安全配置
        options.Cookie.HttpOnly = true;
        options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
        options.Cookie.SameSite = SameSiteMode.Lax;
    });

// 中间件顺序必须严格遵循：先认证，后授权
app.UseAuthentication();
app.UseAuthorization();

2. 登录页处理认证与重定向 #

在 Login.cshtml.cs 中，直接从查询参数获取 ReturnUrl，完成请求头验证后重定向到目标页面：

public async Task<IActionResult> OnGetAsync(string returnUrl = null)
{
    // 保存ReturnUrl，用于后续重定向
    ViewData["ReturnUrl"] = returnUrl;

    // 1. 读取请求头中的认证信息
    var authHeader = HttpContext.Request.Headers["你的认证头名称"].ToString();
    if (!string.IsNullOrEmpty(authHeader))
    {
        // 2. 执行你的身份验证逻辑（替换为原global.asax中的验证逻辑）
        bool isValid = ValidateAuthHeader(authHeader);
        if (isValid)
        {
            // 3. 创建用户身份凭证
            var claims = new List<Claim>
            {
                new Claim(ClaimTypes.Name, "已认证用户"),
                // 添加业务所需的其他Claim
            };
            var identity = new ClaimsIdentity(claims, "myApp");
            var authProps = new AuthenticationProperties
            {
                RedirectUri = returnUrl ?? "/"
            };

            // 4. 完成用户登录
            await HttpContext.SignInAsync("myApp", new ClaimsPrincipal(identity), authProps);

            // 5. 安全重定向到目标页面（LocalRedirect防止开放重定向攻击）
            return LocalRedirect(returnUrl ?? "/");
        }
    }

    // 验证失败时返回登录页，可添加错误提示逻辑
    return Page();
}

// 示例：自定义请求头验证方法
private bool ValidateAuthHeader(string authHeader)
{
    // 这里实现你原本在global.asax中的验证逻辑
    return !string.IsNullOrWhiteSpace(authHeader);
}

3. 保护目标页面 #

在需要认证才能访问的 Razor Page（如 myAwesomePage.cshtml）的 PageModel 上添加 [Authorize] 特性，未认证用户访问时会自动跳转到登录页并携带 ReturnUrl：

[Authorize(AuthenticationSchemes = "myApp")]
public class MyAwesomePageModel : PageModel
{
    public void OnGet()
    {
        // 页面业务逻辑
    }
}

关键注意事项 #

• ReturnUrl 由框架自动生成传递，无需手动拼接，避免了 Referer 头可能被禁用或篡改的问题。
• 使用 LocalRedirect 而非普通 Redirect，可防止恶意的开放重定向攻击，确保仅重定向到本站内地址。

内容的提问来源于stack exchange，提问作者genericHCU