配置OpenIddict集成Azure AD外部登录时查询字符串过长问题

1. 查询字符串过长是否由State参数导致？ #

是的，从你提供的请求链接可以明显看到，State参数占据了查询字符串的绝大部分长度，正是导致请求过长的核心原因。默认情况下，ASP.NET Core的OAuth/OpenID Connect中间件（包括OpenIddict对接外部登录时）会将大量上下文信息（如原始请求状态、回调地址、CSRF令牌等）序列化后嵌入State参数中，在多层跳转的架构（客户端→OpenIddict→Azure AD）下，这些信息叠加会让State变得异常冗长。

2. 如何让OpenIddict生成较短的State参数？ #

核心思路是避免将完整上下文信息直接嵌入State参数，改为在服务器端存储上下文，仅用短标识符作为State传递，以下是两种可行方案：

方案一：使用Cookie存储State上下文（推荐） #

通过配置Microsoft Account外部登录选项，将State的有效载荷存储在Cookie中，仅传递短加密标识符作为State参数：

services.AddAuthentication()
    .AddMicrosoftAccount(microsoftOptions =>
    {
        microsoftOptions.ClientId = ClientId;
        microsoftOptions.ClientSecret = ClientSecret;
        
        // 使用数据保护+Cookie存储State上下文
        var dataProtectionProvider = services.BuildServiceProvider().GetRequiredService<IDataProtectionProvider>();
        var dataProtector = dataProtectionProvider.CreateProtector("MicrosoftAccount.State.Data");
        microsoftOptions.StateDataFormat = new PropertiesDataFormat(dataProtector);
    });

该方案利用ASP.NET Core内置的PropertiesDataFormat和数据保护功能，自动将State的大载荷序列化到Cookie中，仅在查询字符串中保留短加密标识符，既安全又能显著缩短State长度。

方案二：自定义State生成逻辑（缓存存储） #

通过自定义State管理器，将上下文信息存储在服务器端缓存中，生成短Guid作为State标识符：

步骤1：实现短State管理器

public class ShortStateManager
{
    private readonly IMemoryCache _cache;
    private readonly TimeSpan _stateExpiration = TimeSpan.FromMinutes(15);

    public ShortStateManager(IMemoryCache cache)
    {
        _cache = cache;
    }

    // 生成短State并缓存上下文数据
    public string CreateShortState(AuthenticationProperties properties)
    {
        var stateId = Guid.NewGuid().ToString("N"); // 32位短Guid字符串
        _cache.Set(stateId, properties, _stateExpiration);
        return stateId;
    }

    // 根据短State获取上下文数据并清理缓存
    public AuthenticationProperties? GetOriginalState(string stateId)
    {
        if (_cache.TryGetValue(stateId, out AuthenticationProperties? properties))
        {
            _cache.Remove(stateId);
            return properties;
        }
        return null;
    }
}

步骤2：注册服务

services.AddMemoryCache();
services.AddScoped<ShortStateManager>();

步骤3：配置Microsoft Account事件

services.AddAuthentication()
    .AddMicrosoftAccount(microsoftOptions =>
    {
        microsoftOptions.ClientId = ClientId;
        microsoftOptions.ClientSecret = ClientSecret;
        
        microsoftOptions.Events = new OAuthEvents
        {
            // 跳转至Azure AD前替换为短State
            OnRedirectToAuthorizationEndpoint = context =>
            {
                var stateManager = context.HttpContext.RequestServices.GetRequiredService<ShortStateManager>();
                var shortState = stateManager.CreateShortState(context.Properties);
                
                // 替换跳转URL中的原始State为短State
                var redirectUri = context.RedirectUri.Replace(context.Properties.GetState(), shortState);
                context.Response.Redirect(redirectUri);
                
                return Task.CompletedTask;
            },
            // 回调时恢复原始上下文数据
            OnCreatingTicket = context =>
            {
                var stateManager = context.HttpContext.RequestServices.GetRequiredService<ShortStateManager>();
                var originalState = stateManager.GetOriginalState(context.Request.Query["state"]);
                
                if (originalState != null)
                {
                    context.Properties = originalState;
                }
                
                return Task.CompletedTask;
            }
        };
    });

若生产环境需更高可靠性，可将IMemoryCache替换为分布式缓存（如Redis），避免应用重启或多实例部署时丢失缓存数据。

内容的提问来源于stack exchange，提问作者Kushal Kumar V