Blazor集成Azure AD单租户登录提示无对应地址报错

单租户登录触发404的核心原因有两个：

1. 认证端点配置错误：你在Program.cs中直接将TenantId赋值给AuthorizationEndpoint字段，该字段要求传入完整的Azure AD授权端点URL，而非单独的租户ID。多租户模式下SDK默认使用common通用端点所以能正常完成登录，单租户模式下错误的端点配置会导致回调路径异常，最终命中Blazor路由的NotFound分支。
2. 缺失单租户专属端点配置：默认的Microsoft Account认证逻辑走通用多租户端点，和你Azure门户中设置的单租户应用类型不匹配，回调时无法被认证中间件正确捕获，才会落到路由组件里。

1. 修正Program.cs中的微软认证配置 #

替换原有错误的AddMicrosoftAccount配置，拼接单租户专属的完整Azure AD端点，同时显式指定回调路径：

builder.Services.AddAuthentication("Cookies")
    .AddCookie(opt =>
    {
        opt.Cookie.Name = "AuthCookie";
    })
    .AddMicrosoftAccount(opt =>
    {
        opt.SignInScheme = "Cookies";
        opt.ClientId = builder.Configuration["Microsoft:AppId"];
        opt.ClientSecret = builder.Configuration["Microsoft:AppSecret"];
        // 读取租户ID拼接单租户专属v2.0端点
        var tenantId = builder.Configuration["Microsoft:TenantId"];
        opt.AuthorizationEndpoint = $"https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/authorize";
        opt.TokenEndpoint = $"https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/token";
        // 配置回调路径，必须和Azure门户中配置的重定向URI完全一致
        opt.CallbackPath = "/signin-microsoft";
    });

注意：如果你在Azure门户配置的重定向URI不是/signin-microsoft，将上述CallbackPath改为实际配置值即可，路径大小写也要完全匹配。

2. 检查中间件顺序 #

确认Program.cs中中间件的顺序正确，认证、授权中间件必须放在路由配置之后，端点映射之前：

// 其他前置中间件：UseHttpsRedirection、UseStaticFiles等
app.UseRouting();

// 这两行顺序不能错，必须在UseRouting之后
app.UseAuthentication();
app.UseAuthorization();

// 端点映射
app.MapBlazorHub();
app.MapDefaultControllerRoute();
app.MapFallbackToPage("/_Host");

如果缺失这两行认证中间件，回调请求不会被认证处理器处理，会直接被路由组件当成普通页面请求匹配，必然触发404。

3. 核对Azure AD应用配置 #

在Azure门户的应用注册页面确认以下配置：

• 支持的账户类型选择「仅限此组织目录中的账户」（单租户模式）
• 重定向URI类型为Web，值和代码中CallbackPath完全匹配，本地调试时需要额外添加https://localhost:<调试端口>/signin-microsoft
• 不需要开启隐式流/混合流的ID令牌选项，当前的Cookie+授权码流默认即可正常工作。

4. 修正前端跳转路径（可选优化） #

将MainLayout中登录、登出的链接改为绝对路径，避免相对路径匹配错误：

<Authorized>
    @context.User.FindFirst(ClaimTypes.Name).Value
    <a class="btn btn-danger" href="/login/logout">Logout</a>
</Authorized>
<NotAuthorized>
    <a class="btn btn-success" href="/login/microsoft?RedirectUri=/">Login</a>
</NotAuthorized>

以上配置修改完成后重启应用，单租户模式即可正常完成登录流程，且仅租户内部账号可以访问应用，外部账号会被Azure AD直接拦截。

内容的提问来源于stack exchange，提问作者Wawawigor