ASP.NET Core多Microsoft身份验证提供程序配置异常排查

多次调用AddMicrosoftAccount注册多套微软身份验证方案时，所有方案默认使用相同的回调路径/signin-microsoft。OAuth回调请求到达服务端后，会被第一个注册的认证方案拦截处理，其余方案生成的state参数无法被匹配校验，最终抛出The oauth state was missing or invalid异常。

核心操作是为每个注册的微软认证方案分配全局唯一的回调路径，同时确保对应配置和Azure AD侧的重定向URI匹配。

调整服务注册代码 #

在循环配置每个Microsoft Account方案时，显式指定不重复的CallbackPath，参考如下修改：

var authBuilder = services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme);
            
foreach (var microsoftExternalProvider in securityOptions.ExternalAuthentication.Microsoft)
{
    // 为当前提供程序生成唯一回调路径，避免和其他方案冲突
    var uniqueCallbackPath = $"/signin-ms-{microsoftExternalProvider.Name}";
    authBuilder.AddMicrosoftAccount(microsoftExternalProvider.Name, microsoftOptions => {
          microsoftOptions.ClientId = microsoftExternalProvider.ClientId;
          microsoftOptions.ClientSecret = microsoftExternalProvider.ClientSecret;
          // 绑定独立回调路径
          microsoftOptions.CallbackPath = uniqueCallbackPath;
          if (microsoftExternalProvider.IsSingleTenant)
          {
              microsoftOptions.AuthorizationEndpoint = $"https://login.microsoftonline.com/{microsoftExternalProvider.TenantId}/oauth2/v2.0/authorize";
              microsoftOptions.TokenEndpoint = $"https://login.microsoftonline.com/{microsoftExternalProvider.TenantId}/oauth2/v2.0/token";   
          }
     });
}

配套配置调整 #

• 前往每个Azure AD应用注册的重定向URI配置页，添加对应完整回调地址，例如你的站点域名是https://app.contoso.com，某提供程序Name是org1，则需要添加https://app.contoso.com/signin-ms-org1作为合法重定向地址
• 如果应用部署在反向代理、负载均衡之后，需要在Program.cs/Startup.cs中最靠前的位置注册转发头中间件，避免服务端识别请求地址错误导致state校验失败：

// 放在所有其他中间件注册之前
app.UseForwardedHeaders(new ForwardedHeadersOptions
{
    ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto
});

登录挑战逻辑校验 #

动态根据URL参数选择提供程序发起登录挑战时，必须传入和配置时完全一致的方案名，示例：

// 从路由/query中读取tenant参数，匹配对应认证方案名
var providerName = GetProviderNameByTenant(tenant);
await HttpContext.ChallengeAsync(providerName, new AuthenticationProperties { RedirectUri = "/" });

• 触发不同租户登录时，跳转至微软登录页的请求中redirect_uri参数值和对应方案配置的回调路径完全一致
• 登录完成回跳时，请求路径匹配对应方案的CallbackPath，由对应认证方案处理，不再抛出state相关异常

内容的提问来源于stack exchange，提问作者CherryQuery