ASP.NET WebForms首次访问时登录页面ReturnURL参数缺失问题

核心原因 #

你的配置存在两个关键问题：

• 全局授权规则<deny users="?"/>限制了所有匿名用户访问，包括登录页Default.aspx。当匿名用户首次访问需要授权的页面时，ASP.NET会尝试重定向到登录页，但由于登录页也不允许匿名访问，系统会忽略ReturnUrl参数，直接跳转到登录页，导致参数丢失。
• loginUrl和defaultUrl都设置为Default.aspx，进一步加重了这种逻辑冲突。

解决步骤 #

1. 允许登录页匿名访问 #

在web.config中添加<location>节点，单独给Default.aspx开放匿名权限：

<configuration>
  <!-- 原有配置 -->
  <authentication mode="Forms">
      <forms name=".ASPXAUTH" defaultUrl="Default.aspx" loginUrl="Default.aspx" timeout="180" protection="All" path="/"/>
  </authentication>
  <authorization>
      <deny users="?"/>
  </authorization>

  <!-- 新增登录页权限配置 -->
  <location path="Default.aspx">
    <system.web>
      <authorization>
        <allow users="*"/>
      </authorization>
    </system.web>
  </location>
</configuration>

2. 优化登录页跳转逻辑 #

确保登录成功后正确处理ReturnUrl参数，在登录按钮的后台代码中添加如下逻辑：

protected void btnLogin_Click(object sender, EventArgs e)
{
    string username = txtUsername.Text.Trim();
    string password = txtPassword.Text.Trim();

    // 替换为你的用户验证逻辑
    if (ValidateUser(username, password))
    {
        string returnUrl = Request.QueryString["ReturnUrl"];
        if (!string.IsNullOrEmpty(returnUrl) && IsValidReturnUrl(returnUrl))
        {
            FormsAuthentication.RedirectFromLoginPage(username, false);
        }
        else
        {
            FormsAuthentication.SetAuthCookie(username, false);
            Response.Redirect(FormsAuthentication.DefaultUrl);
        }
    }
    else
    {
        lblErrorMessage.Text = "用户名或密码错误";
    }
}

// 验证ReturnUrl为本站地址，防止钓鱼跳转
private bool IsValidReturnUrl(string returnUrl)
{
    try
    {
        Uri returnUri = new Uri(new Uri(Request.Url.GetLeftPart(UriPartial.Authority)), returnUrl);
        return returnUri.Host == Request.Url.Host;
    }
    catch
    {
        return false;
    }
}

3. 可选：分离登录页与默认页 #

如果业务允许，建议将loginUrl设置为单独的登录页面（比如Login.aspx），与defaultUrl区分开，避免逻辑混淆：

<authentication mode="Forms">
    <forms name=".ASPXAUTH" defaultUrl="Default.aspx" loginUrl="Login.aspx" timeout="180" protection="All" path="/"/>
</authentication>

调整完成后，首次打开浏览器访问需授权页面时，系统会正确携带ReturnUrl参数跳转至登录页，登录成功后自动返回目标页面。

内容的提问来源于stack exchange，提问作者Michael S. Miller