ASP.NET MVC Azure OpenID Connect部署后ClaimsPrincipal读取oid异常

核心问题分析 #

随机出现的ClaimsPrincipal.Current空引用，大概率是因为该属性依赖Thread.CurrentPrincipal，在服务器线程池复用、异步操作上下文切换，或者多服务器负载均衡的场景下，无法稳定关联当前请求的用户上下文。而本地环境没有这些复杂场景，所以运行正常。

具体修复步骤 #

1. 替换ClaimsPrincipal.Current为请求上下文的User对象 #

停止使用ClaimsPrincipal.Current，改用当前请求的HttpContext.User来读取声明，这是最直接的修复方式：

方式一：直接传入HttpContext（适合静态方法）

修改TokenHelper的GetUsersUniqueId方法：

public static string GetUsersUniqueId(HttpContext context)
{
    if (context?.User == null)
        throw new InvalidOperationException("当前请求无有效用户上下文");
    
    var user = context.User;
    return user.FindFirst("oid")?.Value 
           ?? user.FindFirst(ClaimTypes.NameIdentifier)?.Value;
}

在MVC接口调用时，传入HttpContext.Current或者控制器的HttpContext属性。

方式二：依赖注入IHttpContextAccessor（推荐，符合DI原则）

首先在Startup中注册服务：

services.AddHttpContextAccessor();

然后修改TokenHelper为非静态类，注入IHttpContextAccessor：

public class TokenHelper
{
    private readonly IHttpContextAccessor _httpContextAccessor;

    public TokenHelper(IHttpContextAccessor httpContextAccessor)
    {
        _httpContextAccessor = httpContextAccessor;
    }

    public string GetUsersUniqueId()
    {
        var context = _httpContextAccessor.HttpContext;
        if (context?.User == null)
            throw new InvalidOperationException("当前请求无有效用户上下文");
        
        var user = context.User;
        return user.FindFirst("oid")?.Value 
               ?? user.FindFirst(ClaimTypes.NameIdentifier)?.Value;
    }
}

2. 修复多服务器负载均衡的会话同步问题 #

如果两台服务器使用了负载均衡，需要确保：

• 开启会话亲和性（粘性会话）：让同一用户的请求始终路由到同一台服务器，避免跨服务器的身份票据缺失。
• 配置分布式会话存储：比如使用Redis共享会话，让两台服务器都能读取到用户的身份验证票据。

3. 强化OpenID Connect身份验证配置 #

在Startup的身份验证配置中，确保票据正确持久化并关联到请求上下文：

services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie(options =>
{
    // 配置Cookie的过期时间、安全属性等
    options.ExpireTimeSpan = TimeSpan.FromHours(8);
    options.SlidingExpiration = true;
})
.AddOpenIdConnect(options =>
{
    // 你的Azure AD配置（ClientId、Authority等）
    options.ClientId = "your-client-id";
    options.Authority = "https://login.microsoftonline.com/your-tenant-id";
    options.SaveTokens = true; // 保存令牌到Cookie中
    
    options.Events = new OpenIdConnectEvents
    {
        OnTokenValidated = context =>
        {
            // 显式将验证后的Principal绑定到当前请求上下文
            context.HttpContext.User = context.Principal;
            return Task.CompletedTask;
        }
    };
});

4. 排查异步操作的上下文丢失 #

如果MVC接口包含异步逻辑，确保所有需要访问用户上下文的代码都在请求线程上下文中执行：

• 避免在脱离请求上下文的后台线程中调用TokenHelper。
• 如果使用await，无需刻意去掉.ConfigureAwait(false)，但要确保后续代码不依赖线程关联的上下文（改用IHttpContextAccessor获取上下文是更稳妥的方式）。

5. 添加日志排查问题 #

在TokenHelper中添加日志，记录异常发生时的请求细节，方便定位根因：

private readonly ILogger<TokenHelper> _logger;

// 构造函数注入ILogger
public TokenHelper(IHttpContextAccessor httpContextAccessor, ILogger<TokenHelper> logger)
{
    _httpContextAccessor = httpContextAccessor;
    _logger = logger;
}

public string GetUsersUniqueId()
{
    var context = _httpContextAccessor.HttpContext;
    if (context == null)
    {
        _logger.LogError("HttpContext为空，请求ID：{RequestId}", 
            Activity.Current?.Id ?? context?.TraceIdentifier);
        throw new InvalidOperationException("当前请求无有效上下文");
    }
    
    var user = context.User;
    if (!user.Identity.IsAuthenticated)
    {
        _logger.LogWarning("用户未认证，请求ID：{RequestId}", 
            Activity.Current?.Id ?? context.TraceIdentifier);
        throw new UnauthorizedAccessException("用户未认证");
    }
    
    var oid = user.FindFirst("oid")?.Value;
    if (oid == null)
    {
        _logger.LogError("未找到oid声明，用户Claims：{Claims}", 
            string.Join(", ", user.Claims.Select(c => $"{c.Type}:{c.Value}")));
        throw new InvalidOperationException("用户身份信息缺失oid声明");
    }
    
    return oid;
}

内容的提问来源于stack exchange，提问作者jisazat