集成Azure AD至.NET Core+IdentityServer4项目遇外部登录信息加载错误

一、检查Azure AD应用注册配置 #

• 确认重定向URI完全匹配代码中的CallbackPath，需包含完整HTTPS地址（如https://yourdomain.com/signin-aad，本地调试对应https://localhost:5001/signin-aad），且Azure应用注册中已添加该URI。
• 验证客户端密钥：确保代码里的ClientSecret与Azure应用注册生成的密钥完全一致，且密钥未过期。
• 确认API权限：添加openid、profile、email等必要的委托权限，若需全局使用需完成管理员同意，测试阶段可使用已授权的测试用户。

二、修正OpenIdConnect配置细节 #

• Authority地址格式：替换旧版login.windows.net为新版v2.0端点https://login.microsoftonline.com/<TenantGuid>/v2.0，旧格式易导致元数据加载异常。
• TokenValidationParameters调整：若使用v2.0端点，ValidateIssuer=true时需指定ValidIssuers（v2.0 issuer格式为https://login.microsoftonline.com/<TenantGuid>/v2.0），测试阶段可临时设为ValidateIssuer=false以排除验证问题。
• SignInScheme确认：集成ASP.NET Identity与IdentityServer4的场景下，SignInScheme需设置为IdentityServerConstants.ExternalCookieAuthenticationScheme，确保外部登录状态正确存储。
• 添加必要Scope：显式请求用户信息相关Scope，开启从UserInfo端点获取Claims：

  options.Scope.Add("openid");
  options.Scope.Add("profile");
  options.Scope.Add("email");
  options.GetClaimsFromUserInfoEndpoint = true;
  

三、启用调试日志定位根因 #

在Program.cs中添加日志过滤，开启认证相关的调试日志：

builder.Logging.AddFilter("Microsoft.AspNetCore.Authentication", LogLevel.Debug);
builder.Logging.AddFilter("IdentityServer4", LogLevel.Debug);

查看日志中的具体报错（如元数据加载失败、签名验证错误、用户信息请求失败等），这些信息会直接指向问题根源。

四、验证回调路径与HTTPS环境 #

• 确保应用运行在HTTPS环境下，Azure AD强制要求回调地址为HTTPS（本地调试可启用Kestrel或IIS Express的HTTPS）。
• 确认CallbackPath未被自定义路由占用，且中间件顺序正确：AddAuthentication需在AddControllersWithViews/AddMvc之前，UseAuthentication需在UseAuthorization之前执行。

修正后的示例配置 #

services.AddAuthentication()
        .AddOpenIdConnect("aad", "Azure AD", options =>
        {
            options.Authority = "https://login.microsoftonline.com/<My Azure Tenant Guid>/v2.0";
            options.TokenValidationParameters = new TokenValidationParameters 
            { 
                ValidateIssuer = false // 测试阶段临时关闭，生产环境需配置ValidIssuers
            };
            options.ClientId = "<My Azure App Client Id>";
            options.CallbackPath = "/signin-aad";
            options.ResponseType = OpenIdConnectResponseType.Code;
            options.ClientSecret = "<My Azure App Client Secret>";
            options.SignInScheme = IdentityServerConstants.ExternalCookieAuthenticationScheme;
            options.SignOutScheme = IdentityServerConstants.SignoutScheme;
            options.RequireHttpsMetadata = true;
            
            // 添加必要Scope并启用UserInfo端点
            options.Scope.Add("openid");
            options.Scope.Add("profile");
            options.Scope.Add("email");
            options.GetClaimsFromUserInfoEndpoint = true;
        });

内容的提问来源于stack exchange，提问作者Philip Johnson