Forms身份验证持续重定向回登录页问题求助

问题场景 #

我在.NET应用中配置FormsAuthentication（作为SSRS身份验证扩展，背景不影响当前问题），登录流程如下：

• 打开网站，自动重定向至logon.aspx
• logon.aspx跳转至身份验证站点（IDP）完成验证
• IDP重定向回logon.aspx
• logon.aspx设置Forms身份验证Cookie
• logon.aspx重定向至首页，但随即又被重定向回logon.aspx，此时Cookie已不存在

当前Web.config配置：

<authentication mode="Forms">
  <forms loginUrl="logon.aspx" name="sqlAuthCookie" protection="All" path="/" timeout="180" enableCrossAppRedirects="true">
  </forms>
</authentication>
<authorization>
  <deny users="?" />
  <allow users="*" />
</authorization>
<identity impersonate="false" />

尝试过两种验证方式均无效：

// 无法完成重定向
FormsAuthentication.RedirectFromLoginPage(username, createPersistentCookie: true);

// 设置响应Cookie后重定向，但仍返回登录页
FormsAuthentication.SetAuthCookie(username, createPersistentCookie: true);
string returnUrl = "/ReportServer";
Response.Redirect(returnUrl, false);

排查与解决步骤 #

1. 补全Cookie的Domain配置 #

如果IDP和当前应用不在同一根域名下，未指定Domain会导致Cookie无法跨重定向请求携带。在<forms>节点添加domain属性（根据实际域名调整）：

<forms loginUrl="logon.aspx" name="sqlAuthCookie" protection="All" path="/" timeout="180" enableCrossAppRedirects="true" domain=".yourdomain.com">

同时在代码中手动构造Cookie并指定Domain，确保一致性：

var authTicket = new FormsAuthenticationTicket(1, username, DateTime.Now, DateTime.Now.AddMinutes(180), true, string.Empty);
string encryptedTicket = FormsAuthentication.Encrypt(authTicket);
var authCookie = new HttpCookie(FormsAuthentication.FormsCookieName, encryptedTicket)
{
    Domain = FormsAuthentication.CookieDomain,
    Path = FormsAuthentication.FormsCookiePath,
    HttpOnly = true,
    Secure = FormsAuthentication.RequireSSL
};
Response.Cookies.Add(authCookie);

2. 适配SSL环境的Cookie设置 #

如果应用启用HTTPS，必须确保Cookie的Secure属性为true，否则浏览器不会在HTTPS请求中携带Cookie。在<forms>节点添加requireSSL="true"：

<forms loginUrl="logon.aspx" name="sqlAuthCookie" protection="All" path="/" timeout="180" enableCrossAppRedirects="true" requireSSL="true">

3. 修正重定向的响应处理逻辑 #

使用Response.Redirect(returnUrl, false)时，需要追加CompleteRequest()终止后续响应处理，避免意外的重定向触发：

FormsAuthentication.SetAuthCookie(username, createPersistentCookie: true);
string returnUrl = "/ReportServer";
Response.Redirect(returnUrl, false);
HttpContext.Current.ApplicationInstance.CompleteRequest();

另外，建议使用FormsAuthentication.GetRedirectUrl()获取系统自动保存的跳转地址，替代硬编码：

string returnUrl = FormsAuthentication.GetRedirectUrl(username, true);

4. 调整Cookie的SameSite属性 #

如果浏览器默认限制第三方Cookie，需设置SameSite=None（必须配合Secure=true），避免Cookie被拦截：

authCookie.SameSite = SameSiteMode.None;

5. 配置明确的机器密钥 #

多服务器部署或未指定机器密钥时，可能出现Cookie解密失败的情况。在Web.config的<system.web>节点下添加机器密钥（可通过在线工具生成安全密钥）：

<machineKey validationKey="生成的验证密钥" decryptionKey="生成的解密密钥" validation="SHA1" decryption="AES" />

6. 检查浏览器隐私设置 #

确认浏览器未阻止第三方Cookie（跨域场景下），可在浏览器设置中临时允许第三方Cookie进行测试。

内容的提问来源于stack exchange，提问作者user3167162