如何通过HttpContext.Response携带表单数据实现重定向

现有代码的问题 #

• 方法选型错误：HandleRemoteAuthenticateAsync是用于处理外部身份提供商回调到本站点后的票据校验逻辑的，未认证时触发跳转至IdP的逻辑，应该重写HandleChallengeAsync方法，写在HandleRemoteAuthenticateAsync里逻辑不会按预期执行。
• 跳转方式错误：直接调用Response.Redirect()会返回302状态码，只能触发GET方式跳转，无法携带application/x-www-form-urlencoded格式的POST参数；单独设置Response.ContentType = "application/x-www-form-urlencoded"不会生效，因为302跳转响应没有有效响应体，浏览器会直接发起GET请求，忽略该Content-Type配置。

正确实现逻辑 #

要实现POST方式提交application/x-www-form-urlencoded格式参数到外部IdP，不能使用HTTP重定向，应该返回200状态码，响应内容为一个自动提交的HTML表单：表单提交地址为IdP授权端点，提交方式为POST，编码格式设为application/x-www-form-urlencoded，所有待传递参数渲染为隐藏表单域，页面加载后自动提交表单即可实现无感知跳转，同时兼容禁用JS的场景。

代码示例 #

protected override Task HandleChallengeAsync(AuthenticationProperties properties)
{
    // 组装需要传递给身份提供商的所有参数，按实际业务要求填充
    var postParams = new Dictionary<string, string>
    {
        ["client_id"] = Options.ClientId,
        ["redirect_uri"] = BuildRedirectUriIfRelative(Options.CallbackPath),
        ["scope"] = string.Join(" ", Options.Scope),
        ["response_type"] = "code",
        ["state"] = Options.StateDataFormat.Protect(properties)
        // 其他要求的参数在此处追加
    };

    Response.StatusCode = StatusCodes.Status200OK;
    Response.ContentType = "text/html;charset=utf-8";

    // 构造自动提交的表单页面
    var htmlContent = $@"
<!DOCTYPE html>
<html>
<head>
    <meta charset=""utf-8"">
</head>
<body onload=""document.forms[0].submit()"">
    <form method=""post"" action=""{Options.Authority}/authorization"" enctype=""application/x-www-form-urlencoded"">
        {string.Join("\n", postParams.Select(p => $@"<input type=""hidden"" name=""{p.Key}"" value=""{System.Web.HttpUtility.HtmlEncode(p.Value)}"" />"))}
        <noscript>
            <div>
                <p>JavaScript已禁用，请点击下方按钮跳转至登录页面：</p>
                <button type=""submit"">前往登录</button>
            </div>
        </noscript>
    </form>
</body>
</html>";

    return Response.WriteAsync(htmlContent);
}

// 注意：HandleRemoteAuthenticateAsync 仅保留处理IdP回调的逻辑，不要在其中写跳转代码
protected override async Task<AuthenticateResult> HandleRemoteAuthenticateAsync()
{
    // 此处写你原本处理IdP回调、校验请求、生成认证票据的逻辑
    // 删掉之前写在这的Response.Redirect和ContentType设置代码
}

注意事项 #

• 返回给浏览器的响应ContentType要设置为text/html，不要设置为application/x-www-form-urlencoded，后者是浏览器提交表单到IdP时使用的编码格式，不是当前响应的格式。
• 所有表单参数值要做HTML编码，避免XSS安全风险。
• 自动提交逻辑对正常用户无感知，noscript降级块可以保证禁用JavaScript的用户也能正常完成跳转。

内容的提问来源于stack exchange，提问作者Szyszka947