SignInManager.SignInAsync登录成功后访问[Authorize]页面跳回登录页问题

你遇到的登录后访问标注[Authorize]的仪表盘页面跳转回登录页的问题，和你手动实现身份认证逻辑的漏洞有关，和Identity本身的默认实现无关。具体原因和修复方案如下：

最常见核心原因：中间件顺序错误 #

你只提供了ConfigureServices的代码，未提供Configure中间件配置代码，90%以上的同类问题都是因为中间件顺序错误导致认证逻辑未生效。
必须严格按照下述顺序配置中间件：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 异常处理、静态文件、HSTS等前置中间件
    app.UseRouting();
    app.UseAuthentication(); // 必须放在UseAuthorization之前
    app.UseAuthorization();
    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllerRoute(
            name: "default",
            pattern: "{controller=Account}/{action=Login}/{id?}");
        endpoints.MapRazorPages(); // 你使用了AddDefaultIdentity，必须添加Razor Pages路由映射
    });
}

如果UseAuthorization放在UseAuthentication之前，系统会先检查授权，再执行认证逻辑，自然会判定用户未登录，跳转至登录页。

其他高频问题原因及修复 #

1. 前端AJAX请求未携带凭证导致Cookie未存储 #

你使用JSON接口返回登录结果，而非服务端直接重定向，SignInAsync写入的认证Cookie需要前端请求时开启凭证携带才能正常存储：

• 若使用axios，请求时添加withCredentials: true配置
• 若使用原生XMLHttpRequest，设置xhr.withCredentials = true
  否则浏览器会忽略响应头的Set-Cookie字段，下次请求仪表盘时无有效认证Cookie，触发跳转。

2. 两步验证逻辑中用户对象信息不完整 #

你将完整用户对象序列化存入TempData再反序列化的操作，会丢失Identity运行时需要的安全戳、角色、声明等非持久化字段，即使SignInAsync执行无报错，生成的身份凭证也不满足授权要求。
修复方案：仅存储用户ID到TempData，2FA验证时重新从数据库查询用户信息：

// 登录逻辑修改为仅存用户ID
TempData["loginUserId"] = user.Id;
// 两步验证逻辑修改为从数据库查用户
var user = await userManager.FindByIdAsync(TempData["loginUserId"].ToString());

3. 授权配置不匹配 #

检查仪表盘页面的[Authorize]特性是否添加了额外的角色、策略限制，确认当前登录的用户满足对应的权限要求。如果用户不满足权限要求，未正确配置AccessDeniedPath时也可能被重定向至登录页。

4. Cookie配置异常 #

打开浏览器开发者工具的Application面板，登录后检查是否存在名为.AspNetCore.Identity.Application的Cookie：

• 若不存在，检查Cookie的SameSite、Secure配置是否和当前站点的HTTPS环境匹配
• 若存在，查看Cookie的作用域是否覆盖仪表盘页面的路径

内容的提问来源于stack exchange，提问作者Behzad Hassani