ASP.NET 4.8应用启动时OWIN/OpenID随机异常：用户偶发自动跳转至Azure AD

你的问题核心是OpenIdConnect中间件默认的主动模式（Active）会随机触发自动认证挑战，导致请求还没到HomeController就被拦截跳转到Azure AD。默认情况下，当中间件检测到未认证请求时，会自动发起认证流程，这种触发可能因为请求上下文的细微差异（比如缓存、会话状态初始化顺序）出现随机现象。

具体修复步骤 #

1. 将OpenIdConnect中间件改为被动模式 #

修改UseOpenIdConnectAuthentication的配置，添加AuthenticationMode = AuthenticationMode.Passive，让中间件只在你显式调用认证挑战时才跳转Azure AD，不会自动拦截请求：

app.UseOpenIdConnectAuthentication(
    new OpenIdConnectAuthenticationOptions("AzureAD")
    {
        ClientId = azureAdClientId,
        Authority = azureAdAuthority,
        RedirectUri = azureAdRedirectUri,
        PostLogoutRedirectUri = azureAdPostLogoutRedirectUri,
        Scope = "openid profile User.Read",
        ResponseType = OpenIdConnectResponseType.CodeIdToken,
        TokenValidationParameters = new TokenValidationParameters(),
        // 新增：设置为被动模式，禁止自动发起认证
        AuthenticationMode = AuthenticationMode.Passive,
        Notifications = new OpenIdConnectAuthenticationNotifications
        {
            // 原有通知逻辑保持不变
            RedirectToIdentityProvider = context =>
            {
                if (context.ProtocolMessage.RequestType == OpenIdConnectRequestType.Authentication)
                {
                    context.ProtocolMessage.Scope += " https://graph.microsoft.com/Group.Read.All";
                }
                return Task.FromResult(0);
            },
            AuthenticationFailed = OnAuthenticationFailed,
            AuthorizationCodeReceived = async context =>
            {
                var confidentialClient = ConfidentialClientApplicationBuilder.Create(azureAdClientId)
                    .WithClientSecret(System.Configuration.ConfigurationManager.AppSettings["AzureAD:AppSecret"])
                    .WithRedirectUri(azureAdRedirectUri)
                    .WithAuthority(new Uri($"https://login.microsoftonline.com/{azureAdTenant}/"))
                    .Build();

                var result = await confidentialClient.AcquireTokenByAuthorizationCode(new[] { "https://graph.microsoft.com/.default" }, context.ProtocolMessage.Code)
                    .ExecuteAsync();

                var appIdentity = new ClaimsIdentity(DefaultAuthenticationTypes.ApplicationCookie);
                appIdentity.AddClaim(new Claim("urn:tokens:access_token", result.AccessToken));
                appIdentity.AddClaim(new Claim(ClaimTypes.NameIdentifier, context.JwtSecurityToken.Subject));
                if (context.JwtSecurityToken.Claims.Any(c => c.Type == "groups"))
                    appIdentity.AddClaim(new Claim("hasGroups", "true"));

                var externalIdentity = context.AuthenticationTicket.Identity;
                externalIdentity.AddClaim(new Claim("urn:tokens:access_token", result.AccessToken));

                context.OwinContext.Authentication.SignIn(appIdentity);
            }
        }
    }
);

2. 让Azure AD登录触发显式挑战 #

在你的登录相关控制器（比如AccountController）添加一个Action，处理用户点击Azure AD登录按钮的请求，显式发起认证挑战：

public ActionResult LoginWithAzureAD()
{
    // 指定使用AzureAD认证方案，回调到外部登录处理Action
    return new ChallengeResult("AzureAD", Url.Action("ExternalLoginCallback", "Account"));
}

然后在登录视图中，给Azure AD登录按钮添加指向该Action的链接：

<a href="@Url.Action("LoginWithAzureAD", "Account")" class="btn btn-primary">使用Azure AD登录</a>

3. 检查全局授权过滤器 #

如果应用全局添加了[Authorize]过滤器，需要确保首页（Home/Index）和登录页（Account/Login）被排除，避免自动触发认证挑战。比如在FilterConfig中调整：

public class FilterConfig
{
    public static void RegisterGlobalFilters(GlobalFilterCollection filters)
    {
        // 若全局启用授权，需给无需认证的页面标记允许匿名
        filters.Add(new AuthorizeAttribute());
        // 或在特定Controller/Action上添加[AllowAnonymous]特性
    }
}

4. 测试前清理缓存 #

每次调试前清理浏览器的Cookie和缓存，避免残留的认证状态干扰测试，确保每次启动都是全新会话。

随机性原因说明 #

这种随机触发通常是Owin中间件初始化顺序、IIS Express缓存机制，或浏览器残留会话Cookie导致的。主动模式下，请求上下文的细微差异会触发自动挑战，改为被动模式后，认证流程完全由用户操作控制，就能解决这个问题。

内容的提问来源于stack exchange，提问作者gabpalves