ASP.NET MVC能否同时支持常规登录与Azure AD SSO登录？

ASP.NET MVC（.NET Framework版本）完全支持同时启用本地常规登录和Azure AD SSO登录，你遇到的问题核心原因是认证类型（AuthenticationType）冲突——默认配置中本地Cookie认证与Azure AD认证共用了同一标识，导致彼此的认证逻辑相互覆盖。

以下是具体解决步骤：

1. 区分不同认证方式的AuthenticationType #

为本地登录和Azure AD登录分配唯一的认证类型标识，避免冲突：

• 本地Cookie登录使用默认的DefaultAuthenticationTypes.ApplicationCookie
• Azure AD登录自定义一个标识（比如"AzureAD"）

2. 修改Startup.cs的认证中间件配置 #

按顺序配置本地Cookie认证与Azure AD OpenID Connect认证，确保各自的AuthenticationType唯一：

本地Cookie认证配置（保留原有逻辑，确保标识正确） #

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
    LoginPath = new PathString("/Account/Login"),
    Provider = new CookieAuthenticationProvider
    {
        OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
            validateInterval: TimeSpan.FromMinutes(30),
            regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager)),
        OnResponseSignIn = context =>
        {
            context.Properties.IsPersistent = false;
            context.Properties.AllowRefresh = true;
            context.Properties.ExpiresUtc = DateTimeOffset.UtcNow.AddMinutes(timeoutInMinutes);
        }
    },
    SlidingExpiration = true
});

Azure AD OpenID Connect认证配置 #

添加独立的OIDC认证中间件，指定专属的AuthenticationType：

app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
{
    ClientId = "你的Azure AD客户端ID",
    Authority = "https://login.microsoftonline.com/你的租户ID",
    AuthenticationType = "AzureAD", // 自定义唯一标识
    SignInScheme = CookieAuthenticationDefaults.AuthenticationScheme, // 复用本地Cookie存储登录态
    RedirectUri = "你的应用回调地址（需与Azure AD配置一致）",
    PostLogoutRedirectUri = "你的登出跳转地址",
    Notifications = new OpenIdConnectAuthenticationNotifications
    {
        AuthenticationFailed = context =>
        {
            context.HandleResponse();
            context.Response.Redirect("/Home/Error?message=" + context.Exception.Message);
            return Task.FromResult(0);
        }
    }
});

3. 在登录页面添加Azure AD登录入口 #

在/Account/Login视图中添加Azure AD登录按钮，触发对应认证类型的挑战：

<div class="login-options">
    <!-- 本地登录表单 -->
    <form action="/Account/Login" method="post">
        <!-- 用户名、密码输入框等 -->
        <button type="submit" class="btn btn-default">本地登录</button>
    </form>

    <!-- Azure AD登录按钮 -->
    <a href="@Url.Action("ExternalLogin", "Account", new { provider = "AzureAD", returnUrl = ViewBag.ReturnUrl })" 
       class="btn btn-primary">使用Azure AD登录</a>
</div>

4. 调整AccountController的外部登录逻辑 #

确保ExternalLogin方法针对Azure AD认证类型发起挑战：

public ActionResult ExternalLogin(string provider, string returnUrl)
{
    var redirectUrl = Url.Action("ExternalLoginCallback", "Account", new { ReturnUrl = returnUrl });
    var properties = new AuthenticationProperties { RedirectUri = redirectUrl };
    // 针对指定的认证类型发起挑战
    return new ChallengeResult(provider, properties);
}

public async Task<ActionResult> ExternalLoginCallback(string returnUrl)
{
    var loginInfo = await AuthenticationManager.GetExternalLoginInfoAsync();
    if (loginInfo == null)
    {
        return RedirectToAction("Login");
    }

    // 这里可以根据业务逻辑，将Azure AD用户与本地用户关联，或直接创建本地用户
    var result = await SignInManager.ExternalSignInAsync(loginInfo, isPersistent: false);
    switch (result)
    {
        case SignInStatus.Success:
            return RedirectToLocal(returnUrl);
        case SignInStatus.Failure:
        default:
            // 若用户未关联本地账号，可引导完善信息
            return View("ExternalLoginConfirmation", new ExternalLoginConfirmationViewModel { Email = loginInfo.Email });
    }
}

5. 配置授权策略（可选） #

如果需要全局允许两种认证方式，可在控制器/Action上指定允许的认证类型：

// 在控制器上指定允许两种认证方式
[Authorize(AuthenticationTypes = new[] { DefaultAuthenticationTypes.ApplicationCookie, "AzureAD" })]
public class HomeController : Controller
{
    // ...
}

内容的提问来源于stack exchange，提问作者SK ZroST