AspNet Core 3.1集成AzureAD HTTP环境下关联失败求助

我之前在本地调试AzureAD认证的项目时，也碰到过一模一样的问题，结合你的场景，核心原因和解决方法整理如下：

核心原因 #

当切换到HTTP协议时，浏览器会拒绝发送标记为Secure的Cookie——而Asp.Net Core默认会为认证相关的Cookie（包括AzureAD的关联Cookie）在非开发环境下设置Secure=true。哪怕你已经在AzureAD里注册了HTTP端点，浏览器的安全策略这一关也会直接拦截这类Cookie，导致后端找不到关联Cookie触发异常。

具体解决办法 #

1. 调整全局Cookie策略（推荐） #

在Startup.cs的ConfigureServices中，针对开发环境单独放宽Cookie的Secure限制，确保HTTP下浏览器愿意发送Cookie：

services.Configure<CookiePolicyOptions>(options =>
{
    options.CheckConsentNeeded = context => false;
    options.MinimumSameSitePolicy = SameSiteMode.Unspecified;
    // 仅开发环境允许非HTTPS传输Cookie，生产环境必须保持Always
    if (env.IsDevelopment())
    {
        options.Secure = CookieSecurePolicy.None;
    }
    else
    {
        options.Secure = CookieSecurePolicy.Always;
    }
});

别忘了在Configure方法中启用Cookie策略：

app.UseCookiePolicy();

2. 单独配置AzureAD的关联Cookie #

如果不想修改全局Cookie策略，可以精准针对AzureAD OpenID中间件的关联Cookie做配置：

services.AddAuthentication(AzureADDefaults.AuthenticationScheme)
    .AddAzureAD(options => Configuration.Bind("AzureAd", options))
    .AddOpenIdConnect(options =>
    {
        // 开发环境下关闭关联Cookie的Secure要求
        options.CorrelationCookie.SecurePolicy = env.IsDevelopment() 
            ? CookieSecurePolicy.None 
            : CookieSecurePolicy.Always;
        // 同时调整SameSite属性，避免跨域场景下的Cookie拦截
        options.CorrelationCookie.SameSite = SameSiteMode.Lax;
    });

3. 再次确认AzureAD应用注册配置 #

虽然你提到已经注册了HTTP端点，还是建议再核对两点：

• 重定向URI必须和本地调试地址完全一致，比如http://localhost:5000/signin-oidc
• appsettings.json里的AzureAd配置中，CallbackPath要保持默认的/signin-oidc，ClientId、TenantId等信息不能出错

关键注意事项 #

• 以上配置仅限开发环境使用，生产环境必须强制启用HTTPS并保持Secure=true，否则会有Cookie被窃取的安全风险
• 排查时可以打开浏览器开发者工具（F12），在「Application」标签下查看关联Cookie是否被正确创建，以及请求时是否携带了该Cookie

内容的提问来源于stack exchange，提问作者Aleksei Petrov