使用OIDC Client跨应用授权时遇Authority mismatch错误求助

错误原因 #

"Authority mismatch on settings vs. signin state" 这个错误说白了就是：子应用处理登录回调时，当前UserManager配置的authority和发起登录请求时存在state里的authority对不上。再看你的配置，还有几个关键错处：

1. 子应用的redirect_uri写错了，指向父应用地址而不是自己的localhost:85
2. 父应用的grantAccessConfig完全搞错了逻辑——父应用是OpenID Server（也就是认证中心），不需要反过来把子应用设为authority
3. 登录流程发起方式不对，子应用应该直接向父应用发授权请求，不用绕父应用的配置

正确的多客户端OIDC认证流程 #

1. 子应用（https://localhost:85）用户点登录，子应用用自己的OIDC配置直接向父应用（https://localhost，作为认证中心）发授权请求
2. 父应用弹出登录页，用户输账号密码完成认证
3. 父应用验证子应用的客户端合法性后，跳回子应用的回调地址，携带授权码或令牌
4. 子应用接收响应，解析用户信息，建立登录状态

修正后的配置和实现步骤 #

1. 子应用（https://localhost:85）正确OIDC配置 #

把回调地址改成自己的，确保authority指向父应用：

this.ChildAppConfig = {
  authority: 'https://localhost', // 父应用作为认证中心
  client_id: 'child-spa', // 子应用在父应用认证中心注册的客户端ID
  redirect_uri: `https://localhost:85/signin-callback`, // 子应用自己的回调页
  scope: 'profile openid offline_access',
  response_type: 'code',
  post_logout_redirect_uri: `https://localhost:85/signout-callback`, // 子应用登出回调
  silent_redirect_uri: `https://localhost:85/silent-renew`, // 子应用静默刷新回调
  automaticSilentRenew: false,
  revokeAccessTokenOnSignout: true,
  accessTokenExpiringNotificationTime: 60,
};

2. 子应用登录逻辑 #

用上面的配置初始化UserManager，点击登录时直接调用signinRedirect()，会自动跳去父应用登录页：

// 初始化UserManager
const userManager = new UserManager(this.ChildAppConfig);

// 登录按钮点击事件
async login() {
  await userManager.signinRedirect();
}

3. 子应用回调页处理 #

在子应用的signin-callback页面，必须用和发起登录完全一致的配置初始化UserManager来处理回调，保证authority匹配：

async ngOnInit() {
  const userManager = new UserManager(this.ChildAppConfig);
  try {
    const user = await userManager.signinRedirectCallback();
    // 登录成功后的逻辑，比如跳主页、存储用户信息
    this.router.navigate(['/home']);
  } catch (err) {
    console.error('登录回调处理失败:', err);
    // 出错后跳回登录页
    this.router.navigate(['/login']);
  }
}

4. 父应用认证中心配置要求 #

父应用的OpenID Server得正确注册子应用客户端（child-spa）：

• 允许的回调地址必须包含https://localhost:85/signin-callback
• 授权类型要开启authorization_code（对应你用的response_type: 'code'）
• 允许的作用域包含profile openid offline_access

重要提醒 #

• 子应用的所有回调地址，必须和父应用认证中心里注册的完全一致，端口、路径一个都不能错
• 处理回调时的UserManager配置，必须和发起登录请求时的一模一样，尤其是authority，不然肯定又会出权限不匹配的错
• 父应用就只管做认证中心提供登录服务，不用搞什么反向配置子应用的操作

内容的提问来源于stack exchange，提问作者Dah Sra