.NET MVC中Azure AD登录成功后Request.IsAuthenticated为false问题

异常现象 #

• 运行应用点击「登录」链接，完成Microsoft界面登录后跳转至控制器，此时检查Request.IsAuthenticated却为false
• 停止调试后重新运行应用，点击登录链接会跳过Microsoft登录页直接进入已登录页面，还能正常获取userClaims.FindFirst("name").Value的值

环境与代码说明 #

• web.config中的authentication标签已被完全移除
• 触发登录的代码如下：

public void SignIn()
{
    if (!Request.IsAuthenticated)
    {
        System.Net.ServicePointManager.SecurityProtocol |= SecurityProtocolType.Tls12;
        HttpContext.GetOwinContext()
            .Authentication.Challenge(new AuthenticationProperties { RedirectUri = "/" },
                OpenIdConnectAuthenticationDefaults.AuthenticationType);
    }
}

问题分析与解决 #

1. 首次登录后Request.IsAuthenticated为false的原因 #

• Owin中间件配置不完整：仅调用Challenge发起认证请求还不够，若未配置OpenID Connect中间件的回调处理逻辑，Azure AD返回的身份令牌无法被正确解析并生成本地认证Cookie，导致Request.IsAuthenticated无法识别已登录状态。
• 缺失本地会话Cookie生成步骤：在认证回调流程中，需要显式调用Authentication.SignIn创建本地会话Cookie。缺少这一步的话，即使Azure AD认证成功，应用本地也不会标记用户为已认证。
• 配置冲突残留：移除authentication标签后，需确认Owin中间件已完全接管认证流程，没有遗留的Forms认证等隐性配置干扰。

2. 重启应用后自动登录的原因 #

这是因为Azure AD在浏览器中保存了会话Cookie，重启应用后再次发起认证请求时，Azure AD会直接返回已认证的令牌，此时Owin中间件能正常处理并生成本地认证Cookie，因此可以直接进入已登录状态并获取用户Claims。

修复方案 #

• 完善OpenID Connect中间件配置：在Startup.Auth.cs中补充完整的回调处理逻辑：

app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
{
    ClientId = "你的客户端ID",
    Authority = "https://login.microsoftonline.com/你的租户ID",
    RedirectUri = "回调地址",
    ResponseType = OpenIdConnectResponseType.CodeIdToken,
    Scope = "openid profile",
    Notifications = new OpenIdConnectAuthenticationNotifications
    {
        AuthorizationCodeReceived = async n =>
        {
            // 交换授权码获取访问令牌
            var tokenClient = new TokenClient(
                "https://login.microsoftonline.com/你的租户ID/oauth2/token",
                "你的客户端ID",
                "你的客户端密钥");
            var tokenResponse = await tokenClient.RequestAuthorizationCodeAsync(
                n.Code, n.RedirectUri);

            // 获取用户信息并构建身份标识
            var userInfoClient = new UserInfoClient(
                new Uri("https://login.microsoftonline.com/你的租户ID/openid/userinfo"));
            var userInfoResponse = await userInfoClient.GetAsync(tokenResponse.AccessToken);

            var identity = new ClaimsIdentity(n.AuthenticationTicket.Identity.AuthenticationType);
            identity.AddClaims(userInfoResponse.Claims);
            identity.AddClaim(new Claim("access_token", tokenResponse.AccessToken));
            
            n.AuthenticationTicket = new AuthenticationTicket(
                new ClaimsIdentity(identity.Claims, n.AuthenticationTicket.Identity.AuthenticationType),
                n.AuthenticationTicket.Properties);
        }
    }
});

• 添加Cookie认证中间件依赖：OpenID Connect需要Cookie认证中间件保存本地会话，在Startup中添加：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = CookieAuthenticationDefaults.AuthenticationType,
    LoginPath = new PathString("/Account/SignIn")
});

• 确保回调Action处理正确：回调控制器中可显式完成登录流程（若中间件未自动处理）：

public async Task<ActionResult> Callback()
{
    var authResult = await HttpContext.GetOwinContext().Authentication.AuthenticateAsync(OpenIdConnectAuthenticationDefaults.AuthenticationType);
    if (authResult != null && authResult.Identity != null)
    {
        HttpContext.GetOwinContext().Authentication.SignIn(authResult.Properties, authResult.Identity);
    }
    return RedirectToAction("Index", "Home");
}

内容的提问来源于stack exchange，提问作者Leventogenna