Azure AD认证问题：访问拒绝页面清除用户上下文

问题描述 #

我正在开发一款集成Azure AD实现安全认证的C# MVC Web应用。用户登录后，Azure会向用户上下文添加一组claims。

但遇到以下异常情况：

• 无特定角色的用户访问受限内容时，Azure会显示默认的“Access Denied”页面
• 页面显示后用户上下文被清除，页面上重新显示登录按钮；但从该页面返回应用后，用户又会自动恢复登录状态

已尝试方案 #

• 检查Azure AD的配置及访问拒绝场景的处理策略，未找到直接解决方案
• 排查浏览器网络流量，未获取有效线索

预期效果 #

用户成功登录后，即使访问受限内容，用户上下文也能保留，仅显示合适的访问拒绝提示而非被登出

解决方案建议 #

1. 自定义访问拒绝页面，替换Azure AD默认跳转 #

通过配置认证中间件，拦截Azure AD的默认访问拒绝跳转，指向应用内的自定义页面，避免默认页面导致的会话异常：

// .NET 6+ Program.cs 示例
builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(builder.Configuration.GetSection("AzureAd"));

builder.Services.Configure<OpenIdConnectOptions>(OpenIdConnectDefaults.AuthenticationScheme, options =>
{
    options.Events.OnRedirectToAccessDenied = context =>
    {
        // 跳转到自定义访问拒绝页面
        context.Response.Redirect("/Home/AccessDenied");
        context.HandleResponse();
        return Task.CompletedTask;
    };
});

在HomeController中添加对应的Action：

public IActionResult AccessDenied()
{
    // 此处可根据用户Claims展示个性化提示，用户上下文会被保留
    return View();
}

在对应的View页面中展示友好提示，同时保留登录状态相关UI（如用户名、退出按钮等）。

2. 检查授权逻辑，避免意外登出操作 #

确保应用内的授权失败处理逻辑没有调用SignOutAsync或其他清除会话的方法，比如在自定义授权过滤器中，仅返回访问拒绝结果而非触发登出。

3. 验证Azure AD应用注册配置 #

• 进入Azure AD应用注册的令牌配置页面，确认角色Claims已正确添加并返回给应用
• 检查应用的重定向URI配置，确保没有错误的跳转地址导致会话状态异常

4. 调整Cookie会话配置 #

配置应用的认证Cookie，确保授权失败不会触发Cookie清除：

builder.Services.ConfigureApplicationCookie(options =>
{
    options.AccessDeniedPath = "/Home/AccessDenied";
    options.ExpireTimeSpan = TimeSpan.FromHours(8);
    options.SlidingExpiration = true;
});

内容的提问来源于stack exchange，提问作者Braam Neethling