基于IDS4的SSO迁移新Google OAuth后无法获取idsrv.session Cookie

核心差异定位 #

你遇到的问题核心在于直接SSO登录和客户端触发SSO登录时，IDS4生成idsrv.session Cookie的上下文不同：

• 客户端触发时，登录流程处于OIDC授权请求的上下文里，IDS4会自动适配会话Cookie的生成逻辑；
• 直接登录时，缺少授权上下文，Cookie生成的关键属性或流程被忽略，导致Cookie无法正确写入或浏览器无法识别。

具体排查与修复步骤 #

1. 恢复ReturnUrl的动态获取 #

你当前硬编码了returnUrl = "~/"，这会导致直接登录时跳过IDS4的授权上下文处理逻辑。恢复从外部认证的Properties中获取ReturnUrl：

// 替换硬编码的returnUrl
var returnUrl = result.Properties.Items["returnUrl"] ?? "~/";

客户端触发登录时，returnUrl会是OIDC授权回调地址，IDS4会自动关联会话到授权上下文；直接登录时则 fallback 到根路径，同时保留IDS4的会话生成逻辑。

2. 显式配置AuthenticationProperties的Cookie属性 #

直接登录时，你创建的localSignInProps是空的，缺少Cookie的关键属性（SameSite、Secure等），浏览器可能会阻止这类Cookie。手动添加属性：

var localSignInProps = new AuthenticationProperties
{
    IsPersistent = false, // 根据业务需求设置是否持久化
    SameSite = SameSiteMode.Lax, // 适配大多数浏览器的跨站Cookie规则
    Secure = true // 仅HTTPS环境下生效，必须开启
};

同时确保IDS4全局Cookie配置正确（在Startup.cs中）：

services.AddIdentityServer(options =>
{
    options.Authentication.CookieSameSiteMode = SameSiteMode.Lax;
    options.Authentication.CookieSecure = CookieSecurePolicy.Always;
})
// 后续其他配置...

3. 精准注销外部认证的临时Cookie #

你当前的await HttpContext.SignOutAsync();没有指定Scheme，会默认注销所有认证会话，包括刚生成的idsrv.session。需要明确指定外部认证的Scheme（比如Google的Scheme为"Google"）：

// 仅注销Google外部认证的临时Cookie，保留IDS4的会话Cookie
await HttpContext.SignOutAsync("Google");

客户端触发登录时，授权上下文会保护idsrv.session不被误删，但直接登录时没有这个保护，必须精准指定Scheme。

4. 解决GSI Popup模式的上下文问题 #

使用ux_mode="popup"时，认证回调是在弹窗中完成的，Cookie会被写入弹窗的上下文，主窗口无法直接感知。可以：

• 临时测试：将data-ux_mode="popup"改为data-ux_mode="redirect"，如果此时能正常获取Cookie，说明是Popup模式的上下文问题；
• Popup模式修复：在回调页面添加JS代码，通知主窗口刷新并关闭弹窗：

<!-- 在GoogleCallback返回的页面中添加 -->
<script>
    if (window.opener) {
        window.opener.location.reload();
        window.close();
    }
</script>

或者改用GSI的手动回调模式，避免弹窗上下文隔离：

<script src="https://accounts.google.com/gsi/client" async defer></script>
<script>
    function handleCredentialResponse(response) {
        // 将credential发送到你的GoogleCallback接口
        fetch('CallbackURI', {
            method: 'POST',
            headers: { 'Content-Type': 'application/json' },
            body: JSON.stringify({ credential: response.credential })
        }).then(res => {
            if (res.ok) {
                window.location.reload();
            }
        });
    }
</script>
<div id="g_id_onload"
     data-client_id="ClientID"
     data-auto_prompt="false"
     data-context="signin"
     data-callback="handleCredentialResponse">
</div>
<div class="g_id_signin"
     data-type="standard"
     data-size="large"
     data-theme="outline"
     data-text="sign_in_with"
     data-shape="rectangular"
     data-logo_alignment="left">
</div>

5. 检查Cookie Domain配置（多域名场景） #

如果SSO和客户端应用属于不同子域名，需要确保Cookie的Domain设置为父域名，让所有子域名共享：

services.Configure<CookieAuthenticationOptions>(IdentityServerConstants.DefaultCookieAuthenticationScheme, options =>
{
    options.Cookie.Domain = ".yourdomain.com"; // 注意前缀的点，适配所有子域名
});

验证步骤 #

1. 先恢复ReturnUrl的动态获取，测试直接登录是否能拿到Cookie；
2. 如果不行，添加AuthenticationProperties的属性配置；
3. 再检查SignOutAsync的Scheme是否正确；
4. 最后排查Popup模式的上下文问题。

内容的提问来源于stack exchange，提问作者Madara Uchiha