使用Cookie流程的passport-azure-ad OpenID登录挂起，返回含undefined的令牌

先针对你遇到的核心问题（登录后重定向未触发、令牌字段全为undefined）逐一排查，再解答密钥相关的疑问：

一、核心问题排查与修复 #

1. 验证Azure AD应用注册的重定向URI #

Azure AD对重定向URI的匹配要求完全精确，必须和你配置里的redirectUrl（https://localhost:3000/auth/microsoft/redirect）完全一致：

• 检查协议：确认是https还是http，本地测试如果用http，要确保应用注册里也配置了对应的http URI
• 端口：3000是否与应用注册里的配置一致
• 路径：/auth/microsoft/redirect是否一字不差
  如果不匹配，Azure AD不会触发重定向，自然拿不到令牌，导致所有令牌字段都是undefined。

2. 调整日志级别排查细节 #

你当前的loggingLevel: "error"会忽略很多关键调试信息，建议改成"debug"或"info"，这样能看到令牌验证、解密过程中的具体错误：

loggingLevel: "debug"

启动服务后重新测试，查看Node控制台的日志，大概率能找到令牌解析失败的直接原因（比如密钥不匹配、令牌格式错误）。

3. 确认Passport回调函数的正确性 #

确保你的OIDC策略回调函数正确处理了返回的用户信息，并且调用done()让流程继续：

const OIDCStrategy = require('passport-azure-ad').OIDCStrategy;

passport.use(new OIDCStrategy(
  // 你的配置对象
  {
    identityMetadata: "https://login.microsoftonline.com/common/v2.0/.well-known/openid-configuration",
    clientID: secretsService.get("microsoft", "clientid"),
    loggingLevel: "debug",
    allowMultiAudiencesInToken: true,
    validateIssuer: false,
    tenantIdOrName: secretsService.get("microsoft", "tenantid"),
    passReqToCallback: true,
    clientSecret: secretsService.get("microsoft", "secret"),
    responseType: "code",
    responseMode: "query",
    redirectUrl: "https://localhost:3000/auth/microsoft/redirect",
    session: false,
    useCookieInsteadOfSession: true,
    cookieEncryptionKeys: [ 
      { 
        key: secretsService.get("app", "encryptionkey"), 
        iv: secretsService.get("app", "iv"), 
      }, 
    ],
  },
  (req, iss, sub, profile, accessToken, refreshToken, done) => {
    // 打印profile，确认是否有oid、upn等字段
    console.log('Received profile:', profile);
    // 必须调用done()，否则Passport会挂起请求，导致重定向卡住
    return done(null, profile);
  }
));

如果回调里未调用done(null, user)，Passport会终止流程，自然不会触发后续重定向。

二、Cookie加密密钥相关疑问解答 #

1. cookie-parser与passport-azure-ad密钥的区别 #

两者不需要使用相同密码：

• cookie-parser的secret是用来签名cookie，防止前端篡改cookie内容；
• passport-azure-ad的cookieEncryptionKeys是用来加密存储在cookie里的令牌数据（采用AES-256-GCM算法），两者职责完全独立。

你的cookieParser()配置不需要传入加密密钥，除非你需要启用cookie签名，这时传入一个独立的签名密钥即可，和加密密钥分开管理。

2. 密钥与IV的生成要求 #

passport-azure-ad确实要求：

• 密钥：32位十六进制字符串（对应AES-256算法的32字节密钥）
• IV：12位字符串（GCM模式的标准要求，对应12字节初始向量）
  你的测试密钥和IV格式是正确的，但生产环境必须用密码学安全的随机生成器生成，比如用Node.js的crypto模块：

const crypto = require('crypto');
// 生成AES-256密钥（32字节，转64位十六进制字符串）
const key = crypto.randomBytes(32).toString('hex');
// 生成12字节IV（转24位十六进制后截取前12位，保证长度符合要求）
const iv = crypto.randomBytes(12).toString('hex').slice(0, 12);

3. IV的更换频率与密钥管理 #

• IV不需要频繁更换：AES-GCM仅要求同一个密钥下IV不重复即可，passport-azure-ad会自动为每个加密操作生成新的IV；你配置里的IV是密钥对的一部分，主要用于密钥轮换场景。
• 密钥管理建议：
  • 生产环境不要硬编码密钥，用环境变量或密钥管理服务（比如Azure Key Vault）存储；
  • 定期轮换密钥（比如每3-6个月），轮换时保留旧密钥一段时间（至少等于cookie的过期时间），确保旧cookie能正常解密；
  • 无需搭建复杂的管理机制，只要保证密钥的安全存储和定期轮换即可。

内容的提问来源于stack exchange，提问作者SebastianG