AAD认证后如何重定向到用户最初访问的路径？

你的问题核心是浏览器哈希片段（#/foo这类格式）不会被发送到后端服务器，ASP.NET Core的OpenID认证流程默认无法感知到这个路径，因此认证完成后只能跳转到首页。下面是具体的解决步骤：

解决思路 #

1. 在用户被重定向到Azure登录页之前，把浏览器地址栏里的哈希片段临时存储（用Cookie或OpenID的state参数）
2. 在Azure认证回调完成、用户身份验证成功后，取出存储的哈希片段，拼接到最终的重定向URL上
3. 清理临时存储的内容，避免残留

具体实现方案 #

方案一：用Cookie存储哈希片段 #

这种方式兼容性好，不需要前端额外配合太多逻辑：

// 在Program.cs中配置认证服务
builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie()
.AddOpenIdConnect(options =>
{
    // 基础Azure AD配置
    options.ClientId = builder.Configuration["AzureAd:ClientId"];
    options.ClientSecret = builder.Configuration["AzureAd:ClientSecret"];
    options.Authority = $"https://login.microsoftonline.com/{builder.Configuration["AzureAd:TenantId"]}/v2.0";
    options.CallbackPath = "/signin-oidc";
    options.ResponseType = "code";

    // 跳转到Azure前，把哈希存入临时Cookie
    options.Events.OnRedirectToIdentityProvider = context =>
    {
        // 假设前端通过查询参数`hash`传递哈希片段（如/?hash=%23%2Ffoo）
        var hash = context.Request.Query["hash"].FirstOrDefault();
        if (!string.IsNullOrEmpty(hash))
        {
            context.Response.Cookies.Append("AuthHash", hash, new CookieOptions
            {
                HttpOnly = true,
                Secure = true,
                SameSite = SameSiteMode.Lax,
                Expires = DateTimeOffset.UtcNow.AddMinutes(10) // 短有效期避免残留
            });
        }
        return Task.CompletedTask;
    };

    // 认证成功后，读取Cookie并拼接重定向URL
    options.Events.OnTokenValidated = context =>
    {
        if (context.Request.Cookies.TryGetValue("AuthHash", out var hash))
        {
            var returnUrl = context.Properties.RedirectUri ?? "/";
            // 拼接哈希，避免重复#
            context.Properties.RedirectUri = returnUrl.EndsWith("#") ? returnUrl + hash.TrimStart('#') : returnUrl + hash;
            
            // 清理临时Cookie
            context.Response.Cookies.Delete("AuthHash");
        }
        return Task.CompletedTask;
    };
});

方案二：用OpenID的state参数传递哈希 #

这种方式不需要依赖Cookie，利用OpenID协议自带的state参数传递数据：

builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie()
.AddOpenIdConnect(options =>
{
    // 基础Azure AD配置（同方案一）
    options.ClientId = builder.Configuration["AzureAd:ClientId"];
    options.ClientSecret = builder.Configuration["AzureAd:ClientSecret"];
    options.Authority = $"https://login.microsoftonline.com/{builder.Configuration["AzureAd:TenantId"]}/v2.0";
    options.CallbackPath = "/signin-oidc";
    options.ResponseType = "code";

    // 把哈希片段附加到state参数中
    options.Events.OnRedirectToIdentityProvider = context =>
    {
        var hash = context.Request.Query["hash"].FirstOrDefault();
        if (!string.IsNullOrEmpty(hash))
        {
            // 拼接原始state和哈希，用分隔符区分
            context.ProtocolMessage.State = $"{context.ProtocolMessage.State}|{hash}";
        }
        return Task.CompletedTask;
    };

    // 回调时解析state，恢复原始值并取出哈希
    options.Events.OnAuthorizationCodeReceived = context =>
    {
        var state = context.ProtocolMessage.State;
        if (state.Contains("|"))
        {
            var parts = state.Split('|');
            context.ProtocolMessage.State = parts[0]; // 恢复原始state，避免验证失败
            context.Properties.Items["AuthHash"] = parts[1]; // 暂存哈希
        }
        return Task.CompletedTask;
    };

    // 认证成功后拼接重定向URL
    options.Events.OnTokenValidated = context =>
    {
        if (context.Properties.Items.TryGetValue("AuthHash", out var hash))
        {
            var returnUrl = context.Properties.RedirectUri ?? "/";
            context.Properties.RedirectUri = returnUrl + hash;
            context.Properties.Items.Remove("AuthHash");
        }
        return Task.CompletedTask;
    };
});

前端配合（SPA场景） #

如果你的网站是Vue/React这类SPA，用户访问/#/foo时，前端路由可以在未登录时把哈希片段转为查询参数传递给后端：

// Vue路由全局守卫示例
router.beforeEach((to, from, next) => {
  const isAuthenticated = /* 判断用户是否登录的逻辑 */;
  if (!isAuthenticated && to.path !== '/login') {
    // 编码哈希片段，传递给后端
    const encodedHash = encodeURIComponent(window.location.hash);
    window.location.href = `/Account/Login?hash=${encodedHash}`;
  } else {
    next();
  }
});

内容的提问来源于stack exchange，提问作者DNg