IdentityServer4配置多同类型（Google）外部认证的异常解决咨询

问题根源 #

注册多个同类型（如Google）外部认证方案时，默认会共享相同的CallbackPath（如/signin-google），导致回调请求被第一个匹配的认证处理器拦截。该处理器使用自身配置解密由其他同类型方案生成的状态参数，验证失败后触发RemoteAuthenticationHandler抛出InvalidOperationException错误，中断流程。

解决方案 #

1. 为每个同类型认证实例配置唯一回调路径 #

注册时必须为每个Google实例指定独立的CallbackPath，避免请求被错误处理器捕获：

var providers = new List<ExternalProvider>(); // 已填充多组Google配置

foreach (var option in providers)
{
    builder.AddGoogle(option.Name, option.Name, x => 
    {
        x.Bind(option);
        // 为每个Google实例设置唯一回调路径
        x.CallbackPath = $"/signin-google-{option.Name}";
    });
}

2. 发起认证时明确指定对应Scheme #

在登录页面的后端逻辑中，生成挑战请求时必须指定用户选择的Google实例对应的Scheme名称，确保认证请求关联到正确的处理器：

// selectedProvider为用户选择的某个Google实例名称（如"Google-CompanyA"）
var authProps = new AuthenticationProperties
{
    RedirectUri = "/signin-oidc", // IdentityServer的回调地址
    Items = { { "scheme", selectedProvider } }
};

return Challenge(authProps, selectedProvider);

3. 在IdentityServer中注册独立的外部认证提供者 #

将每个Google实例配置为独立的外部身份提供者，让IdentityServer正确识别并关联对应的认证Scheme：

services.AddIdentityServer()
    .AddDeveloperSigningCredential()
    .AddInMemoryIdentityResources(Config.IdentityResources)
    .AddInMemoryApiScopes(Config.ApiScopes)
    .AddInMemoryClients(Config.Clients)
    .AddInMemoryIdentityProviders(new List<IdentityProvider>
    {
        new IdentityProvider
        {
            Scheme = "Google-CompanyA",
            DisplayName = "Google 企业A账号",
            Type = "Google"
        },
        new IdentityProvider
        {
            Scheme = "Google-CompanyB",
            DisplayName = "Google 企业B账号",
            Type = "Google"
        }
        // 其他外部提供者配置...
    });

额外说明 #

• 不依赖调试中发现的"跳过错误继续执行"方式，该行为会产生不必要的错误日志并降低性能，应从根源确保请求匹配到正确处理器。
• 若不想修改回调路径，可自定义AuthenticationSchemeProvider实现动态路由，但复杂度较高，不如配置唯一回调路径直观。

内容的提问来源于stack exchange，提问作者Stephan Badenhorst