OIDC偶发报错：Unable to unprotect the message.State及message.State为空

问题背景 #

搭建OIDC客户端，部署在AWS负载均衡器后（仅单实例），已启用DataProtection并将密钥存储到Redis，但部分用户登录时触发两个报错：

• Unable to unprotect the message.State
• message.State is null or empty
  多数用户可正常登录，相关配置代码如下：

认证配置代码 #

services
    .AddAuthentication(options =>
    {
        options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        options.DefaultChallengeScheme = Coo // 此处存在笔误
    })
    .AddCookie(options =>
    {
        options.LoginPath = "/login";
        options.Cookie.Name = PrepareWebCookieNames.AuthCookie;
        options.ExpireTimeSpan = TimeSpan.FromDays(1); // TODO: Config
        options.SlidingExpiration = false;
        options.Cookie.SameSite = SameSiteMode.None;
    })
    .AddOpenIdConnect(options =>
    {
        options.ClientId = siteSettings.ReaderAppClientId;
        options.ClientSecret = siteSettings.ReaderAppClientSecret;

        options.RequireHttpsMetadata = false;
        options.GetClaimsFromUserInfoEndpoint = false;
        options.SaveTokens = true;

        options.ResponseType = OpenIdConnectResponseType.Code;
        options.AuthenticationMethod = OpenIdConnectRedirectBehavior.RedirectGet;

        options.Authority = _oidcSettings.Authority;

        options.Scope.Add(WellKnownScopes.SsoApiManageScope);
        options.Scope.Add(WellKnownScopes.SsoApiProfileScope);
        options.Scope.Add(WellKnownScopes.PrepareApiScope);

        options.MapInboundClaims = false;

        options.TokenValidationParameters.NameClaimType = "name";
        options.TokenValidationParameters.RoleClaimType = "role";

        options.EventsType = typeof(MvcOpenIdConnectEvents);
    });

DataProtection及其他配置 #

services.AddAntiforgery(opts => opts.Cookie.Name = PrepareWebCookieNames.AntiForgery);

services
    .AddDataProtection()
    .SetApplicationName("PrepareWeb")
    .PersistKeysToStackExchangeRedis(cacheAccessConnectionManager.TempStoreConnection);

排查与解决方案 #

1. 修复Authentication配置笔误 #

原代码中options.DefaultChallengeScheme = Coo明显不完整，会导致OIDC挑战流程异常，State参数无法正确生成和传递。需修正为：

options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;

2. 完善Cookie的Secure属性配置 #

当Cookie设置为SameSiteMode.None时，浏览器强制要求Cookie的Secure属性为true（仅在HTTPS下传输），否则会拒绝存储该Cookie，导致State丢失。

修改AddCookie配置：

.AddCookie(options =>
{
    // 现有配置保留
    options.Cookie.Secure = CookieSecurePolicy.Always; // 添加此行
})

同时为OIDC的Correlation和Nonce Cookie添加Secure配置：

.AddOpenIdConnect(options =>
{
    // 现有配置保留
    options.CorrelationCookie.Secure = true;
    options.NonceCookie.Secure = true;
})

3. 验证DataProtection密钥一致性 #

虽然已将密钥存储到Redis，但需确保：

• Redis连接正常，服务启动时能正确加载密钥
• SetApplicationName("PrepareWeb")的名称在所有部署环境中完全一致，避免密钥隔离导致解密失败

4. 配置AWS负载均衡器的Forwarded Headers #

若AWS LB终止了HTTPS连接，后端服务运行在HTTP环境下，需启用Forwarded Headers让ASP.NET Core识别真实的请求协议，确保Cookie的Secure判断正确：

在Startup的Configure方法中添加：

app.UseForwardedHeaders(new ForwardedHeadersOptions
{
    ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto
});

同时在AWS LB配置中开启转发X-Forwarded-Proto头，值为HTTPS。

5. 处理浏览器Cookie策略限制 #

部分用户浏览器可能禁用第三方Cookie或对SameSite=None兼容性差（如旧版Chrome），可采取：

• 确保OIDC授权服务器与客户端在同一主域下，减少第三方Cookie限制
• 针对旧浏览器降级SameSite配置，或提示用户调整浏览器Cookie设置

6. 自定义事件记录详细日志 #

在MvcOpenIdConnectEvents中添加异常处理，记录具体错误细节，便于排查特定用户的问题：

public class MvcOpenIdConnectEvents : OpenIdConnectEvents
{
    private readonly ILogger<MvcOpenIdConnectEvents> _logger;

    public MvcOpenIdConnectEvents(ILogger<MvcOpenIdConnectEvents> logger)
    {
        _logger = logger;
    }

    public override Task AuthenticationFailed(AuthenticationFailedContext context)
    {
        _logger.LogError(context.Exception, "OIDC认证失败，错误信息：{Message}", context.Exception.Message);
        
        if (context.Exception.Message.Contains("message.State"))
        {
            // 重定向到登录页并给出友好提示
            context.Response.Redirect("/login?error=state_invalid");
            context.HandleResponse();
        }
        
        return base.AuthenticationFailed(context);
    }
}

内容的提问来源于stack exchange，提问作者Dumpen