使用Okta与Blazor(C#)时LocalRedirect()陷入循环报请求过多错误

核心问题分析 #

Okta认证流程完成后，LoginController中User.Identity.IsAuthenticated始终返回false，导致无法正常重定向到目标页面，反而反复进入Login方法，最终触发"Too Many Requests"错误。同时代码存在语法错误和路由重定向逻辑漏洞。

修复步骤 #

1. 修复Logout方法的语法错误 #

LoginController.cs中Logout方法的Url.Content调用缺少闭合引号，导致编译错误，影响认证状态清理：

// 错误代码
var redirectUri = returnUrl is null ? Url.Content("~/" : "/" + returnUrl;

// 修正后
var redirectUri = returnUrl is null ? Url.Content("~/") : "/" + returnUrl;

2. 调整RedirectToLogin组件，避免循环重定向 #

当前组件会对所有未授权页面重定向到Login，包括Login页面本身，形成循环。修改逻辑，仅在当前页面不是Login时才触发重定向：

using Microsoft.AspNetCore.Components;

namespace TestOktaLogin.Components {
    public partial class RedirectToLogin : ComponentBase {
        [Inject] public NavigationManager Navigation { get; set; }

        protected override async Task OnInitializedAsync() {
            var currentPath = Navigation.ToBaseRelativePath(Navigation.Uri);
            
            // 排除Login页面，防止循环
            if (!currentPath.Equals("Login", StringComparison.OrdinalIgnoreCase))
            {
                var returnUrl = Uri.EscapeDataString(currentPath);
                Navigation.NavigateTo($"Login?returnUrl={returnUrl}", true);
            }
        }
    }
}

使用Uri.EscapeDataString对returnUrl编码，避免特殊字符导致路由解析失败。

3. 确保Blazor正确获取认证状态 #

在Program.cs中补充认证状态服务配置，确保CascadingAuthenticationState能正确读取用户身份：

// 替换原有RazorComponents配置
builder.Services.AddRazorComponents()
    .AddInteractiveServerComponents()
    .AddInteractiveServerRenderMode();

// 添加认证状态服务
builder.Services.AddScoped<AuthenticationStateProvider, ServerAuthenticationStateProvider>();

同时确认中间件顺序：UseAuthentication必须在UseAuthorization之前，MapRazorComponents在MapControllers之后。

4. 优化OpenIdConnect配置，确保认证状态持久化 #

在AddOpenIdConnect中添加事件处理，确保用户身份正确存储到Cookie，并修复签发者验证配置：

.AddOpenIdConnect(oidcOptions => {
    // 原有配置保留...
    oidcOptions.Events = new OpenIdConnectEvents
    {
        OnTokenValidated = context =>
        {
            // 确保用户身份被正确存储
            var claimsIdentity = context.Principal.Identity as ClaimsIdentity;
            if (claimsIdentity != null)
            {
                // 可按需添加自定义声明
            }
            return Task.CompletedTask;
        },
        OnAuthenticationFailed = context =>
        {
            // 处理认证失败，跳转错误页
            context.Response.Redirect("/Error");
            context.HandleResponse();
            return Task.CompletedTask;
        }
    };
    // 开启签发者验证，提升安全性
    oidcOptions.TokenValidationParameters.ValidateIssuer = true;
})

5. 修正LoginController的重定向逻辑 #

添加AuthenticationProperties指定认证完成后的重定向目标，同时验证returnUrl的合法性：

[HttpGet("Login")]
public IActionResult Login([FromQuery] string returnUrl) {
    // 验证returnUrl是否为本地路径，防止跳转攻击
    var redirectUri = string.IsNullOrEmpty(returnUrl) || !Url.IsLocalUrl(returnUrl) 
        ? "/" 
        : returnUrl;

    if (User.Identity.IsAuthenticated) {
        return LocalRedirect(redirectUri);
    }

    // 指定认证完成后的重定向目标
    return Challenge(new AuthenticationProperties { RedirectUri = redirectUri });
}

验证步骤 #

1. 清理浏览器缓存和Cookie，避免旧认证状态干扰。
2. 启动应用，访问/触发Okta认证流程。
3. 认证完成后，确认是否正常跳转到Home页面，无Login循环。
4. 测试Logout功能，确认能正确退出并返回指定页面。

内容的提问来源于stack exchange，提问作者Timothy Waters