执行HTTP POST后无法通过Azure AD/OpenID Connect登录ASP.NET MVC应用

将ASP.NET MVC应用部署至Azure平台，采用Azure AD/OpenID Connect进行身份认证时出现以下异常：

• 未执行更新记录类HTTP POST操作时，登录、退出功能正常；
• 执行记录更新并退出登录后，无法重新登录系统，出现登录循环，最终跳转到Microsoft「选择账户」页面并提示“无法登录，请重试”；
• 可通过两种方式恢复登录：删除浏览器历史记录/缓存，或重新部署应用至Azure、重启应用服务。

相关代码文件 #

App_Start/Startup.Auth.cs #

using System.Configuration;
using System.Globalization;
using System.Threading.Tasks;
using Microsoft.Owin.Security;
using Microsoft.Owin.Security.Cookies;
using Microsoft.Owin.Security.OpenIdConnect;
using Microsoft.Owin;
using Owin;

namespace InternalAppsWeb
{
    public partial class Startup
    {
        private static readonly string clientId = ConfigurationManager.AppSettings["ida:ClientId"];
        private static readonly string aADInstance = ConfigurationManager.AppSettings["ida:AADInstance"];
        private static readonly string tenantId = ConfigurationManager.AppSettings["ida:TenantId"];
        private static readonly string postLogoutRedirectUri = ConfigurationManager.AppSettings["ida:PostLogoutRedirectUri"];
        private static readonly string authority = string.Format(CultureInfo.InvariantCulture, aADInstance, tenantId);

        public void ConfigureAuth(IAppBuilder app)
        {
            app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);

            app.UseCookieAuthentication(new CookieAuthenticationOptions());

            app.UseOpenIdConnectAuthentication(
                new OpenIdConnectAuthenticationOptions
                {
                    ClientId = clientId,
                    Authority = authority,
                    PostLogoutRedirectUri = postLogoutRedirectUri,
                    Notifications = new OpenIdConnectAuthenticationNotifications
                    {
                        AuthenticationFailed = context =>
                        {
                            context.HandleResponse();
                            context.Response.Redirect("/Home/Index");
                            return Task.FromResult(0);
                        }
                    }
                }
            );
        }
    }
}

Controllers/AccountController.cs #

using System.Web;
using System.Web.Mvc;
using Microsoft.Owin.Security.Cookies;
using Microsoft.Owin.Security.OpenIdConnect;
using Microsoft.Owin.Security;

namespace InternalAppsWeb.Controllers
{
    public class AccountController : Controller
    {
        public void SignIn()
        {
            if (!Request.IsAuthenticated)
            {
                HttpContext.GetOwinContext().Authentication.Challenge(
                    new AuthenticationProperties { RedirectUri = "/" },
                    OpenIdConnectAuthenticationDefaults.AuthenticationType
                );
            }
        }

        public void SignOut()
        {
            HttpContext.GetOwinContext().Authentication.SignOut(
                OpenIdConnectAuthenticationDefaults.AuthenticationType,
                CookieAuthenticationDefaults.AuthenticationType
            );
        }
    }
}

Global.asax.cs #

using System.IdentityModel.Claims;
using System.Web.Helpers;
using System.Web.Mvc;
using System.Web.Optimization;
using System.Web.Routing;
using InternalAppsWeb.Extensions;

namespace InternalAppsWeb
{
    public class MvcApplication : System.Web.HttpApplication
    {
        protected void Application_Start()
        {
            MvcHandler.DisableMvcResponseHeader = true;
            ModelMetadataProviders.Current = new CustomModelMetadataProvider();
            AreaRegistration.RegisterAllAreas();
            FilterConfig.RegisterGlobalFilters(GlobalFilters.Filters);
            RouteConfig.RegisterRoutes(RouteTable.Routes);
            BundleConfig.RegisterBundles(BundleTable.Bundles);
            AntiForgeryConfig.UniqueClaimTypeIdentifier = ClaimTypes.NameIdentifier;
        }
    }
}

Web.config（appSettings段） #

<appSettings>
  <add key="ida:ClientId" value="fg4267g4-gc5b-57e1-8968-be31258g2b42" />
  <add key="ida:AADInstance" value="https://login.microsoftonline.com/{0}" />
  <add key="ida:TenantId" value="eg92d42g-b9d1-5bg4-b293-dg4cdf483125" />
  <add key="ida:PostLogoutRedirectUri" value="https://localhost:45471/" />
</appSettings>

核心问题定位 #

1. PostLogoutRedirectUri配置错误：Web.config中配置的ida:PostLogoutRedirectUri为本地开发地址，与Azure生产环境域名不匹配，导致Azure AD注销后无法正确重定向，会话残留引发登录循环。
2. 注销逻辑不完整：当前SignOut方法未指定重定向属性，未确保Azure AD端的会话被彻底清理。
3. Cookie配置缺失：未设置Cookie的SameSite、Secure等属性，POST操作后浏览器的Cookie策略可能阻止认证Cookie的正常传递或清理。
4. 认证失败处理过于笼统：AuthenticationFailed通知直接重定向到首页，未记录错误详情，无法排查具体失败原因。

具体修复步骤 #

1. 修正生产环境重定向URI #

更新Web.config中的ida:PostLogoutRedirectUri为Azure应用的实际域名，例如：

<add key="ida:PostLogoutRedirectUri" value="https://your-app-name.azurewebsites.net/" />

同时，确保Azure AD应用注册中的重定向URI和注销URI与该地址保持一致。

2. 完善注销逻辑 #

修改AccountController.cs中的SignOut方法，添加重定向属性并明确注销流程：

public void SignOut()
{
    var authProps = new AuthenticationProperties
    {
        RedirectUri = Url.Action("Index", "Home")
    };
    // 先清除应用Cookie，再触发Azure AD端注销
    HttpContext.GetOwinContext().Authentication.SignOut(authProps, 
        CookieAuthenticationDefaults.AuthenticationType, 
        OpenIdConnectAuthenticationDefaults.AuthenticationType);
}

3. 优化Cookie认证配置 #

在Startup.Auth.cs中，为CookieAuthenticationOptions添加安全相关配置：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    CookieSameSite = SameSiteMode.Lax, // 适配现代浏览器Cookie策略，跨场景需求可设为None（需HTTPS）
    SecureCookie = true, // 生产环境强制HTTPS传输Cookie
    CookieHttpOnly = true, // 禁止前端JS访问Cookie，提升安全性
    ExpireTimeSpan = TimeSpan.FromHours(8) // 自定义会话有效期
});

4. 增强OpenID Connect配置 #

修改Startup.Auth.cs中的OpenIdConnectAuthenticationOptions，补充必要配置并优化错误处理：

app.UseOpenIdConnectAuthentication(
    new OpenIdConnectAuthenticationOptions
    {
        ClientId = clientId,
        Authority = authority,
        PostLogoutRedirectUri = postLogoutRedirectUri,
        RedirectUri = postLogoutRedirectUri, // 确保登录回调地址与生产环境一致
        UseTokenLifetime = false, // 由应用自主管理会话生命周期，而非依赖ID Token过期时间
        Notifications = new OpenIdConnectAuthenticationNotifications
        {
            AuthenticationFailed = context =>
            {
                // 记录认证失败详情（可使用Log4Net/Serilog等日志框架）
                context.HandleResponse();
                // 重定向时携带错误信息，便于排查
                context.Response.Redirect($"/Home/Index?error={Uri.EscapeDataString(context.Exception.Message)}");
                return Task.FromResult(0);
            },
            RedirectToIdentityProvider = n =>
            {
                // 注销时强制传递正确的PostLogoutRedirectUri
                if (n.ProtocolMessage.RequestType == OpenIdConnectRequestType.Logout)
                {
                    n.ProtocolMessage.PostLogoutRedirectUri = postLogoutRedirectUri;
                }
                return Task.FromResult(0);
            }
        }
    }
);

验证方案 #

修复完成后重新部署应用至Azure，执行以下步骤验证：

1. 登录系统，执行记录更新POST操作；
2. 退出登录，确认重定向至首页；
3. 重新发起登录请求，检查是否正常完成认证，无循环跳转现象。

内容的提问来源于stack exchange，提问作者csharpdev