Azure AD返回AADSTS50011错误：回复URL不匹配问题求助

兄弟，这个坑我之前刚踩过！核心问题就出在你传给Challenge的redirectUrl上——Azure AD对回复URL的校验是完全严格匹配的，包括任何Query参数，而你现在的写法把后续跳转的ReturnUrl直接拼进了回调地址里，导致和Azure里配置的纯基础地址不匹配。下面是具体的调整方案：

1. 修正回调地址的传递方式 #

你不需要把ReturnUrl硬编码进回调URL，ConfigureExternalAuthenticationProperties方法本身就支持通过参数传递后续跳转地址。把代码改成这样：

public IActionResult ExternalLogin(RegisterViewModel model, string returnUrl = null) 
{
    // 用Url.Action生成标准回调地址，自动处理路由和区域
    var redirectUrl = Url.Action("ExternalLoginCallback", "Account", new { area = "en", returnUrl });
    var properties = _signInManager.ConfigureExternalAuthenticationProperties(model.Provider, redirectUrl);
    return Challenge(properties, model.Provider);
}

这样传给Azure的回调地址就是纯https://localhost:44301/en/Account/ExternalLoginCallback，和你在Azure里配置的完全一致。

2. 清理Azure里的冗余回复URL #

你之前配置的https://localhost:44301/en/login其实是后续跳转的页面，不需要加入Azure的回复URL列表。只需要保留处理Azure回调的核心端点：

• https://localhost:44301/en/Account/ExternalLoginCallback
• 测试服务器对应的版本（比如https://your-test-domain/en/Account/ExternalLoginCallback）

3. 在回调方法里处理后续跳转 #

当用户从Azure认证成功返回后，在ExternalLoginCallback里完成本地账户创建，再利用传入的returnUrl跳转到目标页面，记得要做本地URL校验避免安全问题：

public async Task<IActionResult> ExternalLoginCallback(string returnUrl = null, string remoteError = null)
{
    // 1. 处理Azure返回的认证信息，完成本地账户创建逻辑
    // ... 你的业务代码 ...

    // 2. 安全跳转至目标页面
    returnUrl = returnUrl ?? Url.Content("~/");
    if (Url.IsLocalUrl(returnUrl))
    {
        return Redirect(returnUrl);
    }
    else
    {
        // 非本地URL则跳转到默认首页
        return RedirectToAction(nameof(HomeController.Index), "Home");
    }
}

4. 额外检查点 #

• 确认测试服务器部署时，Azure里配置的回复URL是完整的HTTPS地址，不要漏掉区域和控制器路径；
• 检查model.Provider的值是否正确（比如是Microsoft而不是其他拼写错误），避免调用错误的认证提供商配置。

本质上就是Azure AD会校验回调地址的每一个字符，包括Query参数，所以必须保证传给Challenge的地址和Azure配置的完全一致，后续跳转逻辑交给回调方法处理就好。

内容的提问来源于stack exchange，提问作者Bob Tway