.NET Core 6下IdentityServer4注册后自动登录认证失效问题

核心问题1：本地注册场景冗余外部登录逻辑，导致认证上下文异常 #

你当前代码直接照搬了IdentityServer4快速启动中外部登录回调的逻辑，在本地注册自动登录场景下调用HttpContext.AuthenticateAsync(IdentityServerConstants.ExternalCookieAuthenticationScheme)，但本地注册流程不会生成外部认证Cookie，该方法返回的AuthenticateResult始终为未成功状态，后续从空结果中提取声明、Token的逻辑全部无效，甚至存在空引用异常风险。
手动登录场景下本地账号密码分支本身不会执行这段外部Cookie读取逻辑，这是两段流程最核心的行为差异。
修复方式：本地注册自动登录场景移除外部认证相关逻辑，直接构造认证参数即可：

if (result.Succeeded)
{
    await _events.RaiseAsync(new UserLoginSuccessEvent(appUser.UserName, appUser.Id, appUser.UserName, clientId: string.Empty));

    var additionalLocalClaims = new List<Claim>();
    var localSignInProps = new AuthenticationProperties();
    // 本地场景无需传入外部认证结果，直接处理登录属性
    SetLocalLoginProps(localSignInProps);

    var isuser = new IdentityServerUser(appUser.Id)
    {
        DisplayName = appUser.UserName,
        AdditionalClaims = additionalLocalClaims,
        AuthenticationTime = DateTimeOffset.UtcNow
    };

    await HttpContext.SignInAsync(isuser, localSignInProps);
    // 不要硬编码跳客户端地址，走标准授权跳转流程
    return RedirectToReturnUrl(returnUrl, HttpContext);
}

核心问题2：方法传参逻辑错误，登录配置完全不生效 #

你当前的ProcessLoginCallback方法中，对localSignInProps是重新赋值而非修改传入的原实例：

// 错误写法：引用类型传值时，直接给参数变量new新对象，不会修改外部传入的实例
localSignInProps = new AuthenticationProperties
{
    IsPersistent = true,
    ExpiresUtc = DateTimeOffset.UtcNow.Add(AccountOptions.RememberMeLoginDuration)
};

方法外初始化的空AuthenticationProperties实例不会被方法内的赋值操作修改，导致后续SignInAsync使用的始终是空属性对象，持久化Cookie、Token存储等配置全部不生效。
修复方式：直接修改传入实例的属性，不要创建新对象：

private void SetLocalLoginProps(AuthenticationProperties localSignInProps)
{
    if (AccountOptions.AllowRememberLogin)
    {
        // 直接修改传入实例的属性值
        localSignInProps.IsPersistent = true;
        localSignInProps.ExpiresUtc = DateTimeOffset.UtcNow.Add(AccountOptions.RememberMeLoginDuration);
    }
}

核心问题3：跳转逻辑不符合OIDC标准流程 #

你当前直接硬编码跳转到客户端业务地址_redirectURL + "/LMS/Course"，跳过了IdentityServer的授权端点校验环节。客户端本地无有效认证Cookie时会重新发起授权请求，此时如果IS4会话Cookie存在策略配置问题（比如SameSite拦截、路径不匹配），就会直接返回登录页，表现为未认证状态。
修复方式：注册流程要和登录流程保持一致，从请求参数中读取标准的returnUrl参数，使用IS4原生的RedirectToReturnUrl方法完成跳转，确保走完整授权码流转流程。

额外排查点 #

• 检查.NET 6环境下Cookie认证的SameSite配置，IS4会话Cookie需配置为SameSiteMode.Lax，HTTPS环境下开启SecurePolicy.Always，避免浏览器拦截Cookie下发。
• 检查Program.cs中认证方案的注册顺序，确保IdentityServer的认证方案优先级高于ASP.NET Core Identity原生方案，避免PasswordSignInAsync签发的Identity原生Cookie覆盖IS4会话Cookie。
• 调试时通过浏览器开发者工具查看响应头的Set-Cookie字段，确认idsrv和idsrv.session两个核心Cookie是否正常下发，是否被浏览器标记为无效。

内容的提问来源于stack exchange，提问作者Chris Dixon