Azure AD认证异常：已登录但无法跳转至.NET Web应用

以下是针对该问题的常见排查点：

1. 重定向URL配置校验 #

• 核对Azure应用注册中「身份验证」页面的重定向URL，确保和生产环境实际回调地址完全一致，包括大小写、路径后缀（如是否多/少了斜杠）。比如确认https://domainname.com/myappname/signin-oidc是否和应用部署的虚拟目录、路由路径完全匹配。
• 检查Azure端是否为Web平台的重定向URL勾选了「ID令牌」选项——.NET的OpenID Connect中间件依赖ID令牌完成登录回调流程。

2. 证书相关问题排查 #

• 确认IIS站点已正确绑定目标SSL证书，且证书私钥权限配置正确：打开服务器证书管理器，找到对应证书，右键选择「所有任务→管理私钥」，添加应用池账户（如IIS AppPool/你的应用池名称）并赋予读取权限。
• 验证服务器安装的证书与上传至Azure应用注册的.cert文件为配对的公/私钥证书，同时检查证书有效期是否正常、证书用途是否包含「客户端认证」或「服务器认证」。

3. Cookie与Session配置检查 #

• 生产HTTPS环境下，确保应用Cookie配置为Secure模式。在Program.cs/Startup.cs中检查Cookie配置：

  builder.Services.ConfigureApplicationCookie(options =>
  {
      options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
  });
  

  非Secure的Cookie在HTTPS环境中无法正常传递，会导致登录状态丢失。
• 确认生产环境Session存储配置有效（如使用分布式缓存而非内存缓存），Session丢失会导致跳转后无法识别登录状态。

4. IIS站点配置校验 #

• 检查URL重写规则是否拦截或修改了/signin-oidc回调路径，确保Azure AD的回调请求能正常到达应用中间件。
• 确认IIS请求筛选未阻止/signin-oidc路径的请求。
• 核对应用池的.NET CLR版本与应用目标框架匹配（如.NET 6应用需对应设置应用池的.NET版本）。

5. .NET认证中间件配置检查 #

• 确认appsettings.json中AzureAd配置的CallbackPath与Azure端重定向URL的路径一致，代码中中间件配置需正确引用该配置：

  builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
      .AddMicrosoftIdentityWebApp(builder.Configuration.GetSection("AzureAd"));
  

• 检查中间件管道顺序：app.UseAuthentication();必须在app.UseAuthorization();之前，且位于app.UseRouting();之后。

内容的提问来源于stack exchange，提问作者joegreen