OWIN重定向未命中MVC控制器Action问题求助

我在传统MVC应用中实现OWIN/OpenID认证（此前尝试MSAL时遇到bug），应用采用混合认证模式：以表单认证为主，OpenID作为可选方式，仅需获取ID_TOKEN并匹配本地用户信息。

当前问题：发起认证挑战并选择账号后，redirecturi未命中控制器的callback Action，直接触发重定向；但使用Postman可正常访问该Action。从网络日志可见，请求携带正确payload调用/callback后返回302并跳转，怀疑与XSS防护等因素有关，恳请协助排查。

相关代码（.NET Framework环境） #

Callback控制器代码 #

/// <returns></returns>
[AllowAnonymous]
//[HttpPost]
[AcceptVerbs(HttpVerbs.Get | HttpVerbs.Post)]
[DisableCors]

public async Task<ActionResult> callback ( string code = "",string id_token = "" )
{

    if (!Request.IsAuthenticated)
    {
        HttpContext.GetOwinContext().Authentication.Challenge(
            new AuthenticationProperties { RedirectUri = "/" },
            OpenIdConnectAuthenticationDefaults.AuthenticationType);
    }

Startup_auth代码 #

app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);
app.UseCookieAuthentication(new CookieAuthenticationOptions());

var oidcOptions = new OpenIdConnectAuthenticationOptions
{
    Authority = authority,
    ClientId = clientId,
    ClientSecret = secret,          
    PostLogoutRedirectUri =logoffUri,
    RedirectUri = redirectUri,
    Notifications = new OpenIdConnectAuthenticationNotifications
    {
        AuthenticationFailed = OnAuthenticationFailed
    },
    TokenValidationParameters = new TokenValidationParameters()
    {
        ValidateIssuer = false
    },
    ResponseType = OpenIdConnectResponseType.IdToken,
    Scope = OpenIdConnectScope.OpenIdProfile

};

网络日志截图：

排查方向 #

• OWIN中间件拦截优先级：确认RedirectUri配置地址与控制器callback路由完全一致。OWIN的OpenID中间件会优先处理回调请求，若中间件已完成认证逻辑（比如Implicit流自动生成认证Cookie），会直接触发重定向，不会进入MVC控制器Action。当前配置ResponseType = IdToken属于Implicit流，中间件会自动处理回调，你的控制器Action可能根本不会被触发。
• Action逻辑与请求方法匹配：callbackAction中仅处理未认证场景，若OWIN已完成认证，Request.IsAuthenticated为true时无后续逻辑，可能导致异常跳转；另外Implicit流回调通常为GET请求，可确认请求方法是否与Action的AcceptVerbs配置匹配。
• 安全防护机制干扰：暂时关闭全局请求验证（如ASP.NET默认的XSS防护）测试，排查是否是全局安全设置拦截了请求；虽然加了[DisableCors]，仍需确认全局CORS配置是否存在冲突。
• 路由匹配问题：检查callbackAction的路由配置是否存在冲突，可在Action中添加日志输出验证是否被执行，或使用RouteDebugger工具排查路由匹配情况。
• OpenID流配置矛盾：当前用Implicit流（ResponseType = IdToken）却配置了ClientSecret，Implicit流不需要ClientSecret，该矛盾可能导致中间件处理异常；若采用Authorization Code流，需将ResponseType改为CodeIdToken。

内容的提问来源于stack exchange，提问作者kaboom