MVC6项目部署IIS后Azure AD认证异常问题求助

可能的原因及解决方案 #

1. 证书访问权限不足 #

你配置的证书存储路径是CurrentUser/My，但IIS应用池默认使用ApplicationPoolIdentity身份运行，该身份没有权限访问当前用户的证书存储。

• 解决方法：
  • 打开MMC证书管理单元，找到目标证书，右键→所有任务→管理私钥，添加应用池账户（格式：IIS AppPool\你的应用池名称），授予读取权限。
  • 或者修改appsettings.json中的CertificateStorePath为LocalMachine/My，将证书导入到本地机器存储，并同样给应用池账户添加私钥读取权限。

2. Azure AD应用注册的重定向URI未更新 #

本地Visual Studio运行时使用的是https://localhost:xxxx/signin-oidc，但部署到IIS后使用的是生产域名（如https://yourdomain.com/signin-oidc），必须在Azure Portal的应用注册中添加该生产环境的重定向URI：

• 登录Azure Portal→找到你的应用注册→认证→添加平台→选择Web，输入生产环境的回调地址https://yourdomain.com/signin-oidc并保存。

3. 请求头过长（HTTP 400错误） #

IIS默认的请求头/URL大小限制较小，当认证过程中Cookie或请求参数累积过大时会触发此错误。

• 修改web.config配置：

  <system.webServer>
    <security>
      <requestFiltering>
        <requestLimits maxAllowedContentLength="30000000" maxQueryString="65536" maxUrl="65536" />
      </requestFiltering>
    </security>
    <serverRuntime uploadReadAheadSize="30000000" />
  </system.webServer>
  

• 调整ASP.NET Core Cookie大小限制（在Program.cs中）：

  builder.Services.Configure<CookieAuthenticationOptions>(CookieAuthenticationDefaults.AuthenticationScheme, options =>
  {
      options.Cookie.MaxSize = 4096; // 根据实际情况调整，单位为字节
  });
  

4. IIS SSL配置错误 #

• 必须勾选要求SSL：Azure AD仅允许HTTPS协议的重定向回调，所以IIS站点的SSL设置必须启用“要求SSL”。
• 无需勾选接受客户端证书：你的场景是Azure AD认证，不需要客户端证书，将该选项设置为忽略即可，否则会引发额外的证书验证流程导致异常。

5. IIS应用池配置错误 #

ASP.NET Core 6应用的IIS应用池必须设置为无托管代码：

• 打开IIS管理器→找到应用池→右键高级设置→将“.NET CLR版本”设置为“无托管代码”，否则会导致运行时冲突。

6. 认证中间件顺序问题 #

确保Program.cs中的中间件顺序正确，UseAuthentication必须在UseRouting之后、UseAuthorization之前：

app.UseRouting();
app.UseAuthentication();
app.UseAuthorization();

app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");

本地VS正常、IIS异常的核心原因 #

本地开发时，Visual Studio使用当前登录用户身份运行开发服务器，能直接访问CurrentUser/My中的证书，且localhost的重定向URI已提前配置在Azure AD应用注册中；而部署到IIS后，应用池身份、证书权限、生产环境重定向URI、IIS默认配置等都与本地环境存在差异，这些差异导致认证流程失败。

内容的提问来源于stack exchange，提问作者XtaXCraft