Blazor应用部署后登录无限循环（本地正常，使用Azure App Registration）

1. 确认重定向URI完全匹配 #

Azure AD对重定向URI的匹配要求完全精确，必须和应用实际回调地址一致：

• 检查Azure应用注册中的Web重定向URI是否为https://mycompany/myapp/signin-oidc，注意大小写、斜杠、HTTPS协议不能出错；
• 检查应用appsettings.json中OpenIdConnect配置的CallbackPath是否为/signin-oidc，未被自定义修改；
• 通过浏览器开发者工具查看跳转时的redirect_uri参数，确认部署后应用的实际回调地址和Azure配置的完全一致。

2. 配置HTTPS转发头 #

如果应用部署在反向代理（如Azure App Service、Nginx）之后，应用可能无法识别真实的HTTPS协议，导致生成的回调地址为HTTP，和Azure配置的HTTPS不匹配，触发循环：
在Program.cs中添加转发头配置，且要放在UseAuthentication和UseAuthorization之前：

app.UseForwardedHeaders(new ForwardedHeadersOptions
{
    ForwardedHeaders = ForwardedHeaders.XForwardedProto | ForwardedHeaders.XForwardedHost
});

3. 验证ID Token相关配置 #

因为应用关闭了Access tokens，只开启了ID tokens，需确保认证配置和权限正确：

• 检查Azure应用注册的API权限，已添加openid、profile基础权限，且已授予管理员同意（租户内应用需此操作）；
• 确认Program.cs中OpenID Connect的ResponseType设置为id_token，不能包含code或token：

builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(builder.Configuration.GetSection("AzureAd"), options =>
    {
        options.ResponseType = "id_token";
    });

4. 调整Cookie策略配置 #

部署环境的Cookie设置不当会导致认证状态无法持久化，引发循环：
在Program.cs中配置符合生产环境的Cookie策略：

app.UseCookiePolicy(new CookiePolicyOptions
{
    MinimumSameSitePolicy = SameSiteMode.Lax,
    HttpOnly = HttpOnlyPolicy.Always,
    Secure = CookieSecurePolicy.Always // 强制HTTPS环境下使用Cookie
});

5. 开启详细认证日志排查 #

以上步骤无法解决时，开启Debug级别的认证日志，获取具体错误信息：
在appsettings.json中添加日志配置：

"Logging": {
    "LogLevel": {
        "Microsoft.AspNetCore.Authentication": "Debug",
        "Microsoft.AspNetCore.Authentication.OpenIdConnect": "Debug"
    }
}

部署后查看应用日志，会输出认证过程中的具体错误（如Token验证失败、权限不足、回调地址不匹配等），定位根本原因。

内容的提问来源于stack exchange，提问作者Eric