设置ResponseMode为fragment后OIDC关联失败问题求助

首先得明确为啥会出现这个问题：当你把ResponseMode改成fragment后，认证服务器返回的code、state这些参数会被放在URL的fragment部分（就是#后面的内容），而浏览器在请求回调地址的时候，是不会把fragment里的内容发送给服务器的。这就导致ASP.NET Core的OpenIdConnectHandler拿不到state参数，自然找不到对应的.AspNetCore.Correlation.关联Cookie，于是就抛出了那个警告。

针对这个问题，你可以按下面的步骤来解决：

• 用前端脚本把fragment参数转成POST提交
  因为服务器端无法直接获取fragment参数，所以需要在回调页面（也就是你配置的CallbackPath对应的页面）加一段JavaScript，把fragment里的所有参数提取出来，通过POST表单的方式提交给服务器的回调接口。

  举个例子，如果你的CallbackPath是/signin-external，可以创建一个对应的视图页面，加入这段代码：

  <script>
      // 提取URL fragment中的参数（去掉开头的#）
      const fragmentParams = new URLSearchParams(window.location.hash.slice(1));
      const submitForm = document.createElement('form');
      
      // 设置表单提交的目标地址就是你的回调路径
      submitForm.action = '/signin-external';
      submitForm.method = 'POST';
      
      // 把fragment里的所有参数转成隐藏表单字段
      for (const [key, value] of fragmentParams) {
          const inputField = document.createElement('input');
          inputField.type = 'hidden';
          inputField.name = key;
          inputField.value = value;
          submitForm.appendChild(inputField);
      }
      
      // 自动提交表单
      document.body.appendChild(submitForm);
      submitForm.submit();
  </script>
  

  这样浏览器访问回调地址时，会自动把fragment里的参数（包括state）通过POST发送给服务器，OpenIdConnectHandler就能拿到state并找到对应的关联Cookie了。

• 确认关联Cookie的配置正确性
  虽然你已经排除了严格Cookie限制的影响，但还是要再检查下SignInScheme对应的Cookie配置：

  • 确保SameSite属性没有设为Strict（本地测试的话，设为Lax就足够，跨域场景可以考虑None，但需要配合Secure属性）
  • 确认HttpOnly和Secure的设置符合你的环境（本地HTTP测试的话，Secure要设为false）

• 验证参数传递完整性
  可以在浏览器的开发者工具里查看：

  1. 认证跳转回来后的URL，确认fragment里包含state参数
  2. 前端脚本提交表单时，是否把state参数正确包含在POST请求里
     如果state参数丢失，那肯定会触发关联错误，所以这一步能帮你定位是否是脚本的问题。

另外补充一点：fragment模式本来是为单页应用（SPA）这类客户端应用设计的，这类应用可以直接读取fragment参数；而你的场景是服务器端的OIDC认证，所以需要做这个参数转换的步骤，让服务器能拿到必要的认证参数。

内容的提问来源于stack exchange，提问作者Mark Bennetts