Identity Server 4集成多身份提供商及Cookie/JWT认证问题排查

目标 #

实现Identity Server作为客户端与外部身份提供商（AzureAD）的中介场景。

配置环境 #

现有多API服务、Identity Server 4实例和React SPA前端：

• 在IS4上为React SPA配置客户端，允许范围包括：openid、profile、email、offline_access、myApi1、myApi2
• React应用已配置OIDC，运行正常
• API服务配置Cookie和JWT双认证方案，搭配Swagger使用正常

问题场景 #

为外部身份提供商AzureAD添加第二个OpenIdConnect方案后：

• 已在Azure注册应用，重定向URL为https://localhost:10000/signin-microsoft
• 参考相关方案配置AzureAD的OIDC集成，登录时可成功重定向到Azure并完成登录，但回调后出现异常：

System.Exception: OpenIdConnectAuthenticationHandler: message.State is null or empty.

调试进展 #

1. 遇到"Correlation Failed"错误，通过配置CorrelationCookie参数解决
2. 添加OIDC事件处理程序，忽略特定的State为空错误后，功能恢复正常

技术疑问解答 #

1. AzureAD的OIDC仅请求4个范围，如何让本地IS4验证客户端的额外范围请求（如myApi1、myApi2）？在回调注入声明是否合理？ #

IS4作为身份中介，AzureAD仅负责用户身份认证，myApi1、myApi2这类业务范围的验证逻辑需由IS4管控：

• 可在AzureAD的OIDC回调的OnTokenValidated事件中，根据外部用户标识（如邮箱、AzureAD用户ID）查询本地系统的权限数据，将对应的业务范围声明注入到用户身份中，这种方式是合理的。
• 同时需确保IS4的客户端配置中已允许这些范围，且IS4的资源配置里已将myApi1、myApi2注册为API资源。

2. 为何会出现OpenIdConnectAuthenticationHandler: message.State is null or empty.错误？ #

该错误与OIDC的state参数验证直接相关，常见原因包括：

• 浏览器Cookie策略（如SameSite设置）导致Correlation Cookie或State Cookie未正确传递到回调页面
• 回调请求的state参数丢失、被篡改，或IS4服务器端的state缓存（默认内存缓存，多实例场景易出问题）无法找到对应记录
• 之前解决Correlation Failed时的Cookie配置存在遗漏，比如Domain、Path设置错误，HTTPS环境下未启用Secure属性
  虽然忽略错误后功能可用，但不建议长期这么做，建议排查Cookie配置，或改用分布式缓存（如Redis）存储state，确保多实例环境下的一致性。

3. 所有API服务是否需同时配置本地IS4和AzureAD的OIDC方案，还是仅IS4配置即可？ #

仅需在IS4配置AzureAD的OIDC方案，API服务只需配置本地IS4的认证方案。
因为最终React SPA是从IS4获取JWT令牌，API服务仅需验证IS4签发的令牌有效性，无需直接对接AzureAD——IS4已完成与AzureAD的身份认证，再向客户端签发自有令牌，API只认IS4的签名和令牌内容。

4. 是否需在用户数据库标记身份提供商？外部用户的密码重置功能应如何处理？ #

• 必须标记身份提供商：需要区分本地用户和外部用户，避免重复创建账号，同时在登录时判断用户应走本地登录还是外部IdP登录流程。
• 外部用户密码重置：无需在本地系统处理，直接引导用户到AzureAD的官方密码重置流程即可，因为外部用户的密码由AzureAD管控，本地系统不存储其密码信息。

5. AzureAD方案的TokenValidationParameters必须设置ValidateIssuer为false吗？ #

不需要设置为false，更安全的做法是将AzureAD的颁发者（Issuer）配置到ValidIssuers列表中。
AzureAD的Issuer格式通常为https://login.microsoftonline.com/{tenantId}/v2.0，可从AzureAD的元数据端点获取准确值，将其添加到TokenValidationParameters.ValidIssuers中，既能验证颁发者合法性，又不会关闭验证机制。

内容的提问来源于stack exchange，提问作者stuzor