AzureADB2C登录后无法重定向至返回URL的问题求助

这个问题我之前在做Blazor Server多项目路径的认证场景时也踩过坑，核心原因是Azure AD B2C只允许配置固定的重定向URI，你自定义的redirectUrl没法直接通过B2C的回调流程传递回来，导致登录后默认跳转到根路径。你想到的Cookie存储方案是完全可行的，下面给你梳理具体的优化实现步骤：

1. 修改RedirectToLogin组件，传递目标路径到登录接口 #

在RedirectToLogin里，把当前访问的子路径作为查询参数传递给SignIn接口，注意要做URL编码避免特殊字符破坏参数：

var uri = new Uri(_navigationManager.Uri);
var redirectUri = "~" + uri.AbsolutePath;
// 对redirectUri做URL编码，防止路径中的特殊字符干扰参数传递
var encodedRedirectUri = Uri.EscapeDataString(redirectUri);
_navigationManager.NavigateTo($"AzureADB2C/Account/SignIn?redirectUrl={encodedRedirectUri}", true);

2. 后端SignIn接口保存目标路径到Cookie #

在你的SignIn接口里，把收到的redirectUrl存入HttpOnly Cookie（更安全），同时确保B2C的回调地址是你在Azure门户配置好的固定/signin-oidc：

[HttpGet("{scheme?}")]
public IActionResult SignIn([FromRoute] string scheme, [FromQuery] string redirectUrl)
{
    scheme ??= AzureADB2CDefaults.AuthenticationScheme;
    
    if (!string.IsNullOrEmpty(redirectUrl))
    {
        // 解码URL参数，还原原始路径
        var decodedRedirectUrl = Uri.UnescapeDataString(redirectUrl);
        // 存入Cookie，设置短有效期避免过期，同时开启HttpOnly防止XSS攻击
        Response.Cookies.Append("PostLoginRedirectUrl", decodedRedirectUrl, new CookieOptions
        {
            HttpOnly = true,
            Secure = Environment.IsProduction(), // 生产环境必须开启，仅HTTPS传输
            SameSite = SameSiteMode.Lax,
            Expires = DateTimeOffset.UtcNow.AddMinutes(10)
        });
    }
    
    // 这里的RedirectUri必须是Azure AD B2C配置里的固定回调地址，不能自定义
    return Challenge(
        new AuthenticationProperties
        {
            RedirectUri = Url.Content("/signin-oidc")
        }, 
        scheme);
}

3. 重写B2C回调逻辑，读取Cookie跳转目标路径 #

Azure AD B2C认证完成后会跳转到/signin-oidc，我们需要在这个回调端点里读取之前保存的Cookie，然后跳转到目标子路径，最后删除Cookie避免重复跳转：

[HttpGet("/signin-oidc")]
public async Task<IActionResult> SignInOidcCallback()
{
    // 完成B2C的认证流程，获取用户身份信息
    var authResult = await HttpContext.AuthenticateAsync(AzureADB2CDefaults.AuthenticationScheme);
    if (!authResult.Succeeded)
    {
        // 处理认证失败的情况，比如跳转到错误页
        return RedirectToPage("/Error");
    }
    
    // 读取Cookie中的目标路径
    if (Request.Cookies.TryGetValue("PostLoginRedirectUrl", out var targetUrl))
    {
        // 校验目标路径的合法性，防止开放重定向攻击
        if (IsValidRedirectUrl(targetUrl))
        {
            // 删除Cookie，避免下次登录重复跳转
            Response.Cookies.Delete("PostLoginRedirectUrl");
            return Redirect(targetUrl);
        }
    }
    
    // 如果没有合法的目标路径，跳转到默认根路径
    return Redirect("~/");
}

// 辅助方法：校验跳转路径是否合法（只允许当前域名下的相对路径或绝对路径）
private bool IsValidRedirectUrl(string url)
{
    if (string.IsNullOrWhiteSpace(url)) return false;
    
    try
    {
        var uri = new Uri(url, UriKind.RelativeOrAbsolute);
        // 允许相对路径，或者当前域名的绝对路径
        return uri.IsRelative || uri.Host.Equals(Request.Host.Host, StringComparison.OrdinalIgnoreCase);
    }
    catch
    {
        return false;
    }
}

关键注意事项 #

• 安全校验：一定要加IsValidRedirectUrl这类校验逻辑，防止恶意构造的跳转URL导致安全问题。
• Cookie配置：生产环境务必开启Secure属性（只在HTTPS下传输Cookie），HttpOnly属性也必须开启，避免前端JS读取Cookie引发XSS风险。
• Azure配置：确保Azure AD B2C门户里的重定向URI已经添加了https://your-domain/signin-oidc（本地开发可以用http，但生产必须HTTPS）。

这个方案本质上是通过Cookie在认证流程前后“接力”传递目标路径，绕开了Azure AD B2C不支持动态重定向URI的限制，完全适配你按子路径区分项目的场景。

内容的提问来源于stack exchange，提问作者xakpc