ASP.NET Core对接企业OAuth2出现oauth state缺失或无效错误

你遇到的报错核心是OAuth中间件配置的CallbackPath和你自行实现的Auth/Login接口路径冲突，OAuth的state参数由中间件生成存在Cookie里，回调请求先被你写的Controller拦截，中间件无法正常校验state，就会抛出该异常。

以下是可直接落地的解决步骤：

• 第一步：修改AddOAuth配置里的CallbackPath参数，改为没有对应控制器实现的专属路径，例如：

options.CallbackPath = new PathString("/signin-mycompany");

这个路径不需要你手动写任何Controller或Action处理逻辑，OAuth中间件会自动拦截该路径的请求完成授权码校验、Token兑换、用户信息拉取的流程。

• 第二步：登录触发入口保留你现有的Auth/Login接口即可，这个接口的作用是触发认证挑战跳转到企业OAuth登录页，和回调路径不冲突。
• 第三步：确认你在企业OAuth服务商后台登记的回调地址完全匹配你的站点地址+配置的CallbackPath，比如本地调试时是https://localhost:5001/signin-mycompany，线上就是https://你的域名/signin-mycompany，必须和白名单完全一致，差一个字符都会回调失败。
• 第四步：补充Cookie配置避免state存储失效，你当前的Cookie配置可以补充SameSite规则，适配现在浏览器的安全策略：

.AddCookie(options =>
{
    options.Cookie.IsEssential = true;
    // 本地调试用http的话设为SameSiteMode.Lax，线上https环境设为SameSiteMode.None
    options.Cookie.SameSite = SameSiteMode.Lax;
    options.Cookie.SecurePolicy = CookieSecurePolicy.SameAsRequest;
});

优化建议 #

你代码里留的两个Todo可以等跑通流程后验证：

1. Scope是否需要全加看你要拉取的用户信息范围，企业OAuth后台一般会有对应说明，不需要的可以删掉减少授权弹窗的权限提示。
2. MapJsonKey的配置逻辑是正确的，等授权成功后可以通过User.Claims拿到对应的字段，如果拿不到可以加OnCreatingTicket事件打日志看下企业OAuth返回的用户信息JSON结构，调整对应Key即可。

内容的提问来源于stack exchange，提问作者Ethan