Azure AD B2C signin-oidc在ASP.NET Core 2 Web应用部署后报错求助

结合你的问题描述和代码，我整理了几个核心排查方向和修复建议：

1. 修正认证方案的默认挑战配置 #

看你的代码里：

options.DefaultChallengeScheme = CookieAuthenticationDefaults.AuthenticationScheme;

这个配置会导致触发认证挑战时，系统尝试用Cookie方案而非Azure AD B2C的OpenID Connect方案。本地测试可能因场景特殊性侥幸正常，但部署到Azure后会直接打乱认证流程，应该改成：

options.DefaultChallengeScheme = "AzureADB2C";

2. 调整HTTPS相关生产环境配置 #

Azure App Service默认强制HTTPS，你的代码里有两个关键配置需要修正：

• 将options.RequireHttpsMetadata = false改为true：生产环境下必须启用HTTPS元数据验证，B2C的身份元数据仅通过HTTPS提供，禁用此配置会导致元数据请求异常，触发400错误。
• 配置Cookie的安全传输属性：在AddCookie()中明确设置Cookie仅通过HTTPS传输，避免因Cookie无法正常传递导致认证中断：

.AddCookie(options =>
{
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    options.Cookie.SameSite = SameSiteMode.Lax; // 若需跨域场景可调整为None，但必须配合Secure属性
})

3. 验证Azure AD B2C应用注册的回复URL #

确保B2C应用注册里的**回复URL(重定向URI)**完全匹配你的部署地址+回调路径，比如：
https://your-app-name.azurewebsites.net/signin-oidc
注意必须是HTTPS协议，路径要和options.CallbackPath完全一致——哪怕末尾多一个斜杠、大小写不匹配都可能触发400错误。

4. 增强错误日志定位根因 #

你的OnAuthenticationFailed事件仅返回空任务，没有记录任何错误细节，这会导致无法排查具体失败原因。修改该事件，把错误详情写入日志：

OnAuthenticationFailed = (context) =>
{
    var logger = context.HttpContext.RequestServices.GetRequiredService<ILogger<Startup>>();
    logger.LogError(context.Exception, "Azure AD B2C认证失败: {ErrorMessage}", context.Exception.Message);
    // 临时跳转到自定义错误页面方便查看
    context.Response.Redirect("/Error");
    context.HandleResponse();
    return Task.CompletedTask;
},

同时在Azure App Service的诊断设置里开启详细的应用日志和HTTP日志，查看400错误的具体响应内容（比如B2C返回的错误描述）。

5. 排查Nonce验证问题 #

OpenID Connect的400错误常和Nonce验证失败有关，可能是Azure环境下的时钟同步问题，或者Cookie无法正确保存Nonce。可以临时禁用Nonce验证（仅用于排查，生产环境不建议）：

options.NonceCookie.SecurePolicy = CookieSecurePolicy.Always;
options.ProtocolValidator.RequireNonce = false; // 临时禁用排查

如果禁用后问题消失，说明是Nonce的Cookie在Azure环境下无法正确传递，需要进一步检查Cookie的SameSite和Secure配置。

内容的提问来源于stack exchange，提问作者mattruma