ASP.NET Core 7+Angular SPA项目中AddOpenIdConnect未调用问题求助

你的代码里已经调用了AddOpenIdConnect方法，就在AddCookie之后的链式调用中，以OpenIdConnectDefaults.AuthenticationScheme为方案名完成了OpenID Connect的参数配置。下面针对你的配置给出几点优化建议，确保BFF模式正常运行：

1. 配置加载优化 #

你手动创建ConfigurationBuilder加载appsettings.json的操作是冗余的，ASP.NET Core默认已完成配置加载逻辑，直接使用内置的builder.Configuration即可：

// 替换原有手动构建配置的代码
var config = builder.Configuration;

2. 生产环境安全增强 #

当前生产环境分支为空，建议添加HTTPS重定向和HSTS配置，强化BFF模式下的Cookie安全性：

if (!app.Environment.IsDevelopment())
{
    app.UseHsts();
    app.UseHttpsRedirection();
}

3. BFF模式下的API保护 #

为确保Angular通过BFF访问后端API的安全性，需为API路由添加授权校验：

// 保护API路由，仅允许已认证用户访问
app.MapControllers().RequireAuthorization();

4. OpenIdConnect配置细节调整 #

• 针对BFF模式，ResponseType使用纯授权码流（Code）即可，无需携带IdToken，令牌交换逻辑由BFF处理：

  options.ResponseType = OpenIdConnectResponseType.Code;
  

• 确认SaveTokens = true已启用，该配置会将访问令牌、刷新令牌存储在安全Cookie中，方便BFF后续为前端代理API请求。

优化后完整Program.cs代码 #

using Microsoft.AspNetCore.Authentication.Cookies;
using Microsoft.AspNetCore.Authentication.OpenIdConnect;
using Microsoft.IdentityModel.Protocols.OpenIdConnect;

var builder = WebApplication.CreateBuilder(args);

// 添加服务到容器
builder.Services.AddControllersWithViews();

var config = builder.Configuration;

builder.Services
    .AddAuthentication(options =>
    {
        options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
    })
    .AddCookie(o =>
            {
                o.Cookie.SecurePolicy = CookieSecurePolicy.Always;
                o.Cookie.SameSite = SameSiteMode.Strict;
                o.Cookie.HttpOnly = true;
                o.Cookie.IsEssential = true;
            })
            .AddOpenIdConnect(OpenIdConnectDefaults.AuthenticationScheme, options =>
            {
                // 设置Auth0域名作为认证中心
                options.Authority = $"https://{config["Auth0:Domain"]}";

                // 配置Auth0客户端ID和密钥
                options.ClientId = config["Auth0:ClientId"];
                options.ClientSecret = config["Auth0:ClientSecret"];

                // 使用授权码流
                options.ResponseType = OpenIdConnectResponseType.Code;

                options.ResponseMode = OpenIdConnectResponseMode.FormPost;

                // 配置权限范围
                options.Scope.Clear();
                options.Scope.Add("openid");
                options.Scope.Add("offline_access");
                options.Scope.Add("read:weather");

                // 设置回调路径
                options.CallbackPath = new PathString("/callback");

                // 设置声明颁发者为Auth0
                options.ClaimsIssuer = "Auth0";

                // 将令牌存储在会话Cookie中
                options.SaveTokens = true;

                options.Events = new OpenIdConnectEvents
                {
                    // 处理注销重定向逻辑
                    OnRedirectToIdentityProviderForSignOut = (context) =>
                    {
                        var logoutUri = $"https://{config["Auth0:Domain"]}/v2/logout?client_id={config["Auth0:ClientId"]}";

                        var postLogoutUri = context.Properties.RedirectUri;
                        if (!string.IsNullOrEmpty(postLogoutUri))
                        {
                            if (postLogoutUri.StartsWith("/"))
                            {
                                // 转换为绝对路径
                                var request = context.Request;
                                postLogoutUri = request.Scheme + "://" + request.Host + request.PathBase + postLogoutUri;
                            }
                            logoutUri += $"&returnTo={Uri.EscapeDataString(postLogoutUri)}";
                        }
                        context.Response.Redirect(logoutUri);
                        context.HandleResponse();

                        return Task.CompletedTask;
                    },
                    OnRedirectToIdentityProvider = context =>
                    {
                        context.ProtocolMessage.SetParameter("audience", config["Auth0:ApiAudience"]);
                        return Task.CompletedTask;
                    }
                };
            });

var app = builder.Build();

// 配置HTTP请求管道
if (!app.Environment.IsDevelopment())
{
    app.UseHsts();
    app.UseHttpsRedirection();
}

app.UseStaticFiles();
app.UseRouting();

app.UseAuthentication();
app.UseAuthorization();

app.MapControllerRoute(
    name: "default",
    pattern: "{controller}/{action=Index}/{id?}");

// 保护API路由
app.MapControllers().RequireAuthorization();

app.MapFallbackToFile("index.html");

app.Run();

appsettings.json配置说明 #

请将配置中的占位符替换为实际Auth0信息：

{
  "Logging": {
    "LogLevel": {
      "Default": "Debug",
      "Microsoft": "Debug",
      "Microsoft.Hosting.Lifetime": "Debug"
    }
  },
  "AllowedHosts": "*",
  "Auth0": {
    "Domain": "<你的Auth0域名>",
    "ClientId": "<你的Auth0客户端ID>",
    "ClientSecret": "<你的Auth0客户端密钥>",
    "ApiAudience": "https://weatherforecast"
  }
}

额外注意事项 #

• 在Auth0控制台中，需将https://localhost:<端口>/callback添加为允许的回调URL，将https://localhost:<端口>添加为允许的注销URL。
• Angular端无需直接处理认证逻辑，所有认证请求均通过BFF发起，前端仅调用BFF提供的API获取数据。

内容的提问来源于stack exchange，提问作者Galkin