ASP.NET Core 6 MVC集成Keycloak认证授权重定向异常求助

核心问题根源 #

你当前的OpenID Connect配置中，通过OnRedirectToIdentityProvider硬编码了固定的RedirectUri，这直接破坏了ASP.NET Core自动维护回调路径的机制，导致授权后的跳转逻辑混乱，引发循环刷新、目标页面丢失等问题。

问题1：全局[Authorize]后循环刷新、页面变黑 #

解决方法

移除硬编码的RedirectUri，让框架自动生成包含当前请求上下文的回调地址。如果保留OnRedirectToIdentityProvider事件，不要覆盖RedirectUri，仅做必要的自定义操作。

调整后的OpenIdConnect配置片段：

.AddOpenIdConnect(options =>
{ 
    // 其他原有配置保持不变...
    // 移除或修改OnRedirectToIdentityProvider事件，不再硬编码RedirectUri
    // options.Events.OnRedirectToIdentityProvider = async context =>
    // {
    //     context.ProtocolMessage.RedirectUri = "https://localhost:44311/";
    //     await Task.FromResult(0);
    // };
});

问题2：授权后跳转到首页而非目标页面 #

解决方法

1. 同上，移除硬编码的RedirectUri，ASP.NET Core会自动将用户原本要访问的页面地址作为回调参数传递给Keycloak，授权成功后自动跳转回目标页面。
2. 检查Keycloak客户端配置：
   • 在Keycloak后台进入对应客户端的Valid Redirect URIs，设置为https://localhost:44311/*（允许所有路径的回调）；
   • Web Origins设置为https://localhost:44311，确保跨域Cookie正常传递。

问题3：硬编码特定路径后循环加载 #

解决方法

硬编码固定路径会导致所有授权请求的回调地址被强制设置为该路径，若该路径本身需要授权（比如Home/Privacy加了[Authorize]），会出现"授权成功→跳转到Privacy→再次触发授权"的循环。

解决步骤：

1. 立即移除硬编码的RedirectUri，恢复框架自动回调逻辑；
2. 确保Keycloak的Valid Redirect URIs配置正确（如https://localhost:44311/*），允许任意路径的回调；
3. 验证Cookie配置的合理性：
   • 若站点使用HTTPS，建议将cookie.Cookie.SecurePolicy设置为CookieSecurePolicy.Always，确保Cookie仅通过HTTPS传输；
   • SameSiteMode.None需要配合Secure Cookie使用，否则浏览器可能会阻止Cookie。

完整调整后的配置示例 #

services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie(cookie =>
{
    cookie.Cookie.Name = "keycloak.cookie";
    cookie.Cookie.MaxAge = TimeSpan.FromMinutes(60);
    cookie.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 若使用HTTPS建议设为Always
    cookie.SlidingExpiration = true;
})
.AddOpenIdConnect(options =>
{ 
    options.SignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.Authority = "http://localhost:8080/realms/ipn";
    options.ClientId = "IpcpAuth";
    options.ClientSecret = "Tns4Rli7UvsP72pkqqmOrIIBcEG6whVA";
    options.RequireHttpsMetadata = false;
    options.GetClaimsFromUserInfoEndpoint = true;
    options.Scope.Add("openid");
    options.Scope.Add("profile");
    options.Scope.Add("email");
    options.SaveTokens = true;
    options.ResponseType = OpenIdConnectResponseType.Code;
    options.NonceCookie.SameSite = SameSiteMode.None;
    options.CorrelationCookie.SameSite = SameSiteMode.None;
    options.TokenValidationParameters = new TokenValidationParameters
    {
        NameClaimType = "name",
        RoleClaimType = "https://schemas.scopic.com/roles"
    };
    // 移除硬编码RedirectUri的事件逻辑，或仅添加必要的自定义操作
});

内容的提问来源于stack exchange，提问作者Vadim Tregubenko